Auteur jjoerlemans

Ook Nederlanders opgepakt voor drugshandel via Silk Road

jjoerlemans Een reactie plaatsen

De Rechtbank Noord-Nederland heeft op 15 november 2013 twee personen veroordeeld voor drugshandel via ‘Silk Road’ (ECLI:NL:RBNNE:2013:6924). Begin oktober 2013 werd de baas van de geruchtmakende online drugsbazaar ‘Silk Road’ door agenten van de Amerikaanse FBI geassisteerd. Het handelsforum Silk Road was alleen bereikbaar via de anonimiseringsdienst Tor. Voor de drugs werd meestal betaalt met de virtuele valuta ‘Bitcoin’.

Getuige de onderhavige zaak bij de Rechtbank Noord-Brabant handelden ook Nederlanders in drugs via Silk Road. In de uitspraak wordt beschreven dat de verdachten xtc-pillen buiten het grondgebied van Nederland brachten door xtc-pillen per post in de vorm van DVD-hoesjes met kerkmuziek naar Duitsland te versturen voor verdere distributie.

De bewijsvoering leek relatief eenvoudig, aangezien (i) een bekennende verklaring van de verdachte omtrent de export voorhandig was; (ii) tijdens de doorzoeking verpakkingsmateriaal en xtc-pillen werden aangetroffen; (iii) uit een proces-verbaal bleek dat ‘een laptop in beslag werd genomen, waarop de internetsite “Silk Road” stond geopend, met een afbeeldingen van tabletten/pillen, en was ingelogd door de “seller”’; en ten slotte (iv) een USB-stick werd aangetroffen, waarop transacties met Bitcoins stonden vermeld.

De verdachte is veroordeelt voor een duur van 30 maanden gevangenisstraf. Opmerkelijk is dat in de uitspraak verder niet wordt aangegeven wat er met de bitcoins is gebeurd.

Mobile telephone metadata

jjoerlemans Een reactie plaatsen

Posted on 17/10/2013 on Oerlemansblog

Each time you make a phone call with your mobile phone, the (i) date, (ii) time and (iii) duration of your phone call, as well as the (iv) numbers dialed and the (v) location of the antennas (or region (Cell ID)) your mobile phone connects to are retained by your telecommunication service provider. The data is retained in order to ensure the availability of the data for serious crime investigations by law enforcement authorities.The Dutch Minister of Safety and Justice believes that data collection orders from third parties only create ‘minor infringements’ to your right to privacy. Taking this into account, he reasons that the poorly enforced requirement that law enforcement authorities must notify individuals about data collection orders when reasonably possible, causes too much of an administrative burden and should therefore be abolished. His bill proposing the measure caused some controversy last week (10 October 2013) in the Netherlands (article is in Dutch).

But ask yourself: do you know exactly what data is retained by telecommunication providers? And does data retention create only ‘minor’ privacy infringements? Is this a valid argument to get rid of the notification requirements?

Minor privacy infringements?

The European Data Retention Directive from 2006 obliges telecommunication providers  to retain subscriber data (name and address data) and ‘traffic data’ (such as the date, time and duration of the call as well as the numbers dialled) between 6 and 24 months (see article 5 of the Directive). The subjects of data collection orders are not only suspects. In some cases they could also be other individuals, on the condition that the data collected is relevant to the criminal investigation. The problem is that the categories of data described in art. 5 of the Data Retention Directive are, in my opinion, relatively abstract and leave a lot of leeway in terms of what is exactly retained by what provider.

In order to gain more clarity about exactly what data is retained by telecom providers and to get a feeling of what that might mean for the right to privacy, I conducted a few data access requests (a right provided by European privacy laws) with my telecommunication providers. Only focusing on my ‘location data’ and accompanying ‘time stamps’ related to my mobile phone in a period of 3 days, my data request revealed the following (interactive) map:

The blue, red and green points represent the antennas my mobile phone connected to on the 25th, 26th and the 27th of April 2013, each time my mobile phone made a connection with my telecommunication provider (49 times in total). The red line indicates a railway to emphasise the route I took when I travelled by train to Utrecht Central Station and back to Leiden CS (travelling via Schiphol on the 26thof April 2013). On the 27th of April I worked from home as can be seen by the green points. I used a public tool (BatchGeo) to create the map using the raw data provided by my provider, but law enforcement officials can also easily create maps as shown above and even visualise the movements the individual concerned made within a particular time frame with specialized software. It is not hard to imagine why data retention is useful for law enforcement authorities. The data can also be enriched with other data, such as public transportation data from public transportation chip cards, CCTV footage, ANPR data and other network communication data when available. This is what investigating crime in a networked world looks like. The minister stated in the explanatory report on the bill, that collecting data from third parties is now “almost standard to criminal investigations”.

So ask yourself again: does the collection of data by law enforcement authorities from third parties, as illustrated above, create only ‘minor’ privacy infringements? Personally I do have some sympathy with the argument that notification is not desirable for all investigatory methods, taking efficiency reasons into consideration. But I do not think that data collection orders create minor privacy infringements and that this would be a valid reason for abolishing notification. Also bear in mind that without notification, many individuals would not be aware that the government had collected the data, depriving them of the opportunity to object to the data collection. This raises issues relating to art. 13 of the European Convention on Human Rights (not so much art. 8 ECHR as mentioned in the explanatory report), although this aspect is not further considered here.

More transparency about data collection

Even after years of research, it is still not clear to me exactly what data (especially internet related data) is retained by what provider. In addition, the minister refuses to provide statistics on the collection of data, other than telecommunication providers, citing ‘national security interests’ and that it is ‘not in the interest of police investigations’. As I have stated in a previous blog post, I believe that more transparency, by way of providing these statistics, is essential. Parliamentary Members can then pose questions to the governmental representatives involved, in order to maintain (some) control over these far-reaching investigatory powers and try to uphold the integrity of the investigatory process.

Van een “Take down”-bevel naar internetfilters voor politiedoeleinden?

jjoerlemans Een reactie plaatsen

Posted on 23/07/2013 on Oerlemansblog

De nieuwe Wet Computercriminaliteit III (concept) is een wetsvoorstel om computercriminaliteit te bestrijden. Het conceptwetsvoorstel is vooral controversieel vanwege de voorgestelde hack-bevoegdheden voor politie en justitie. Echter, de voorgestelde ‘Notice and Take Down’ (NTD)-bevoegdheid is een ander aspect dat onze aandacht verdient.

Notice and Take Down

Notice and Take Down is een concept waarbij bedrijven of personen worden verzocht om illegale web content te verwijderen op verzoek van een derde. In Nederland heeft zelfregulering geleid tot een gedragscode (.pdf) met betrekking tot ‘Notice and Take Down’ voor aanbieders van openbare telecommuncatiediensten en –netwerken. Personen, bedrijven en opsporingsambtenaren kunnen een bedrijf vragen om online content te verwijderen wanneer de inhoud op een bepaalde website onmiskenbaar illegaal of onrechtmatig is. Kinderporno is het standaard voorbeeld van web content dat op verzoek van een derde door een beheerder van een website verwijderd zou moeten worden.

Uitvoeringsproblemen

Het op verzoek offline halen van web content op basis van de gedragscode (of algemene voorwaarden van een bedrijf) is op dit moment geen verplichting voor internetproviders. Onze minister van Veiligheid en Justitie wil dit veranderen door het mogelijk te maken ‘Notice and Take Down’ als handhavingsinstrument in te zetten (zie het nieuwe voorgestelde artikel 125p van het Wetboek van Strafvordering (Sv)). De meerwaarde van het instrument is volgens p. 44 van de Memorie van Toelichting vooral dat het voorgestelde bevel óók kan worden gericht aan hosting providers en beheerders van een website.

Het NTD-bevel

Op basis van het voorgestelde artikel 126p Sv zou een officier van justitie – met de toestemming van een rechter-commissaris – een bevel kunnen geven aan een ‘elektronische communicatie provider’ (ECP) om ‘alle redelijke maatregelen te nemen’ om gegevens ontoegankelijk te maken teneinde een misdrijf te beëindigen of nieuwe strafbare feiten te voorkomen. De maatregel is bedoeld voor alle misdrijven in het Wetboek van Strafrecht. Zoals aangeven wordt ook beoogd dat de officier van justitie het bevel aan websitebeheerders kan afgeven, maar dat blijkt niet uit de tekst van artikel 125p Sv.

Politie en justitie hadden in theorie deze bevoegdheid al voor telecommunicatieproviders op grond van artikel 54a van het Wetboek van Strafrecht (Sr). Aan artikel 54a Sr kleefden echter zoveel juridische bezwaren dat een “Take down”-bevel van illegale web content op basis dit artikel in de praktijk niet altijd door de rechtbanken werd geaccepteerd. Het voorgestelde artikel 125p Sv kan daarom als reparatie van artikel 54a Sr worden gezien. Artikel 54a Sr blijft overigens bestaan en wordt iets aangepast om de vervolgingsuitsluitingsgrond in dit artikel te verhelderen.

Als het bedrijf of de betrokken persoon niet meewerkt, kan deze worden vervolgd voor het niet nakomen van een ambtelijk gegeven bevel. Opmerkelijk is dat de tekst van de voorgestelde maatregel in artikel 126p Sv impliceert dat de tussenpersoon een ‘verdachte’ is die het recht hebben op een advocaat tijdens een hoorzitting over de maatregel. Belanghebbenden kunnen een klaagschrift bij de rechtbank indienen als ze het niet eens zijn met de opgelegde sanctie. De Take down-bevoegdheid is bedoeld als een tijdelijke maatregel die opnieuw wordt beoordeeld door een zittingsrechter aan het eind van een strafproces. De Minister wil niet een uitspraak van de zittingsrechter afwachten voordat de maatregel kan worden opgelegd, want het zou onwenselijk zijn als het enkele maanden langer zou duren voordat de gegevens ontoegankelijk worden gemaakt. Persoonlijk hoop ik dat een Notice and Take down-bevel inderdaad altijd gepaard gaat met een strafproces en niet op zichzelf wordt gebruikt als instrument om gegevens ontoegankelijk te maken die politie en justitie illegaal vinden.

Het bevel is alleen bedoelt in gevallen waarbij een NTD-verzoek niet vrijwillig wordt uitgevoerd, bijvoorbeeld in het geval van haatzaaien of laster waarbij de tussenpersoon en de officier van justitie het niet eens zijn over de vraag of de inhoud illegaal is. Naar mijn mening is de voorgestelde NTD-sanctie een vergaande en – in sommige gevallen – bruut instrument, dat slechts gedeeltelijk doeltreffend kan zijn. Soms worden namelijk veel websites gehost op één webserver. Het uitschakelen van een webserver kan dan leiden dat het ontoegankelijk maken van veel meer (legale) websites. Belangrijker vind ik nog dat een Take Down-bevel ook aan access providers kan worden opgelegd en daarmee mogelijk leidt tot door de overheid opgelegde internetfilters.

Van Notice and Take Down tot Internet filters

Op p. 84 van de Memorie van Toelichting op het conceptwetsvoorstel wordt gezegd dat “in geval het materiaal in het buitenland wordt gehost en ontoegankelijkheidsmaking noodzakelijk is, het bevel tot access providers kan worden gericht”. Die ontoegankelijkheidsmaking kan vervolgens worden uitgevoerd door IP-adressen te blokkeren (zie p. 85). De blokkering “dient voort te duren zolang de gegevens worden aangeboden”, aldus de Memorie van Toelichting. Daarbij moet de officier van justitie overigens bij het afgeven van het bevel wel rekening houden met de technische mogelijkheden en de kosten om onderdelen van pagina’s of websites ontoegankelijk te maken.

Ik leid hier uit af dat de voorgestelde NTD-bevoegdheid er onder omstandigheden toe kan leiden dat specifieke websites op last van de officier van justitie gefilterd moeten worden. Zoals we allemaal weten zijn dergelijke filters eenvoudig te omzeilen door middel van proxy- en VPN-servers, maar daar wordt in de Memorie van Toelichting niet over gesproken. Ondertussen zijn Nederlandse hosting bedrijven en ISP’s bezorgd over de kosten van de voorgestelde maatregel en hun concurrentiepositie in de industrie.

Conclusie

De voorgestelde Notice and Take Down-bevoegdheid is bedoeld voor strafzaken waarin een persoon of bedrijf gegevens offline kan halen, maar niet bereid is dit vrijwillig te doen. Met de voorgestelde bevoegdheid kan een officier van justitie (na machtiging van een rechter commissaris) aanbieders van elektronische communicatiediensten dwingen gegevens ontoegankelijk te maken onder dreiging van strafvervolging.

De voorgestelde regeling is meer vergaand dan het oude (en slecht afdwingbare) artikel 54 van het Wetboek van Strafrecht en kan resulteren in een filter-verplichting voor specifieke websites. Onze parlementsleden moeten grondig nadenken en debatteren over de voorgestelde blokkerings- en filteringsmaatregelen alvorens ze het goedkeuren als instrument voor handhavingsinstanties.

Extraterritorial use of policeware in the United States?

jjoerlemans Een reactie plaatsen

Posted on 02/05/2013 on Oerlemansblog

Last week, the story broke that a judge from Texas (United States) had published a decision  (.pdf) denying a warrant for the placement of “policeware” on a computer of an unknown suspect at an unknown location. Policeware is special surveillance software, also called “spyware”, utilized to secretly monitor all kinds of internet activities of a computer user. The decision is interesting because it sheds light on the use of policeware in the United States.

Capabilities of the software

Judge Smith explains that the FBI requested to install “data extraction software” on the “Target Computer” (presumably the computer of a suspect). This software has the capability to search the computer’s hard drive, random access memory, and other storage media (thus perform a “remote search”). Additionally, the software can “activate the computer’s built-in camera, generate latitude and longitude coordinates for the computer’s location and transmit the extracted data to FBI agents in the district”. By installing the software, the FBI wishes to obtain information such as web browsing history, e-mail contents, e-mail contacts, chat logs, photographs and correspondence. The law enforcement agency also wishes to use the built-in camera to make photographs to identify the person using the target computer.

Extraterritorial application of a warrant to install policeware

The Texan judge then ascertains whether the request complies with the warrant requirements as described in Rule 41 of the U.S. Federal Rules of Criminal procedure. This blog post does not allow to me elaborate on the judge’s decision and the requirements of a “Rule 41 warrant”, but I do want to point out that the judge establishes that Rule 41 only allows for searches “in the district of the judge”. In this case the territoriality requirement is not met, because the search does not take place within the district, “so far as the Government’s application shows”, according to the judge. Note the judge’s witty remark that the search takes place: “not in the airy nothing of cyberspace, but in the physical space with a local habitation and a name”.

U.S. digital surveillance expert Orin Kerr analyzed the court decision of judge Smith on the popular legal blog “The Volokh Conspiracy”. I found his considerations about the applicability of the warrant requirement on a potentially foreign suspect particularly fascinating. It is standing case law (under United States v. Verdugo-Urquidez, 494 U.S. 259 (1990) that the warrant requirement of the Fourth Amendment of the U.S. Constitution does not apply outside the United States. Since it is likely the physical computer will be searched overseas (because the last known IP address is traced back somewhere in Southeast Asia), the government does not need a warrant to search the physical computer. However, Kerr believes the search also takes place in the United States when the information is analyzed by U.S. law enforcement officials and therefore a warrant is required “for that part of the search that takes place in judge Smith’s home district”.  Kerr ultimately finds the arguments presented by judge Smith to deny the warrant unconvincing.

Conclusion

Kerr’s analysis of the case begs the question: is it desirable that the United States could potentially perform searches of computers and install policeware on computers in foreign territory by unilaterally applying their criminal procedural rules to foreigners? If the answer is no, keep in mind that the Dutch government suggested more or less the same thing on p. 34-35 in their announcement today (in Dutch) to amend the Dutch Code of Criminal Procedure to make hacking and the placement of spyware possible on computers “if their location is unknown” (see also this blog post).

I’m curious to hear from international criminal law legal experts and others as to what they think of this.

This is a cross post from LeidenLawBlog.nl.

Aftrap Wet computercriminaliteit III

jjoerlemans Een reactie plaatsen

Posted on 02/05/2013

Vandaag (2 mei 2013) heeft minister Opstelten het wetsvoorstel Computercriminaliteit III gepubliceerd. In deze blog post wil ik kort mijn eerste observaties bij het conceptwetsvoorstel geven. Daarbij ga ik vooral in op de hackbevoegdheden en behandel kort het voorgestelde NTD-bevel en decryptiebevel.

De toelichting (.pdf) op het voorstel is 87 pagina’s, dus een blog post kan nooit alle belangrijke details eruit halen. In de snelheid zou ik ook best dingen verkeerd geïnterpreteerd of ingeschat kunnen hebben, dus verbeter mij in dat geval a.u.b. of schrijf zelf iets. Ook heb ik de wettelijke bepalingen nog niet in detail geanalyseerd. Dit is dus geen wetenschappelijk artikel dat geschikt is om te citeren. Ik hoop slechts dat ik de inhoud van het voorstel duidelijker kan maken en mensen aan het denken zet over het voorstel.

Overigens vind ik op het eerste gezicht de uitgebreide Memorie van Toelichting goed in elkaar zitten. De toelichting is overzichtelijk en er worden heldere voorbeelden gegeven. Ook zijn de waarborgen bij de bevoegdheden uitgebreid beschreven. Er zitten wel een paar slordigheidsfoutjes in de toelichting (b.v. “Truecript” i.p.v. “Truecrypt” en “hoer” i.p.v. “hoe” ). Het is mij niet duidelijk of het een zogenaamde internetconsultatie betreft, waarbij het een conceptwetsvoorstel betreft die pas later naar de Tweede Kamer wordt verstuurd (dit dacht ik in eerste instantie namelijk wel). Misschien verschijnt het later nog wel op internetconsultatie.nl. Maar goed, met betrekking tot de inhoud:

Noodzaak voor de nieuwe bevoegdheden

Het voorstel zal naar eigen zeggen de opsporingsbevoegdheden in evenwicht brengen met de stand van de technologie. In het conceptswetsvoorstel worden uitgebreid drie ontwikkelingen beschreven die van invloed zijn op de opsporingspraktijk en volgens de regering tot creatie van de nieuwe bevoegdheden nopen. Dit zijn: (1) De versleuteling van elektronische gegevens, (2) het gebruik van draadloze netwerken en (3) het gebruik van Cloudcomputingdiensten (zie p. 8-12).

Het probleem van versleuteling ziet enerzijds op versleuteling van informatie op gegevensdragers zelf met programma’s zoals Truecrypt, waarbij opsporingsinstanties achteraf niet meer de informatie kunnen uitlezen. Anderzijds ziet het op versleuteling van gegevens bij communicatie, waarbij de informatie die over een internettap komt niet meer zichtbaar is. Dat is bijvoorbeeld het geval wanneer standaard versleuteling aanstaat bij elektronische communicatiediensten zoals Twitter en Gmail en wanneer via Skype wordt gecommuniceerd. De normale tapbevoegdheid biedt ook onvoldoende soelaas volgens de toelichting, omdat aanbieders van diensten soms (a) zelf niet in staat zijn te onstleutelen (als voorbeeld wordt Skype gegeven), (b) de aanbieder niet onder de definitie valt, of (c) gevestigd is in het buitenland.  In de toelichting wordt uitvoerig verwezen naar mijn artikel over de ‘mogelijkheden en beperkingen van de internettap’ in Justitiële Verkenningen uit 2012.

Gerelateerd aan de verminderende mogelijkheden om communicatie te onderscheppen is de toename van gebruik van verschillende draadloze netwerken. Een internettap kan namelijk maar op één IP adres worden gezet. Omdat mensen dikwijls gebruik maken van verschillende (mobiele) netwerken wordt in dat geval maar een deel van het netwerkverkeer afgetapt. Daar komt bij dat volgens de Minister over tap veel verkeer voorbijkomt, ook van personen “waarin de politie niet is in geïnteresseerd” . De redenering is ongeveer dat door een computer te hacken en spyware te plaatsen de overheid veel gerichter zou kunnen tappen en de communicatie via die bepaalde computer kunnen onderscheppen. Bovendien zou de spyware kunnen worden gebruikt ter identificatie van de gebruiker(s) van het geautomatiseerde werk. Dat wordt door de opstellers van de toelichting op het wetsvoorstel als een groot voordeel wordt gezien, omdat daarmee gerichter kan worden afgeluisterd. Overigens doet de brief voorkomen dat een internettap helemaal niet zo nuttig meer is, omdat de inhoud van de communicatie vaak niet meer mee komt. Naar mijn mening zijn de verkeersgegevens (waaronder de IP adressen van de computers die worden aangezocht) wel nog steeds erg nuttig zijn in een (digitaal) opsporingsonderzoek.

Over de problematiek van Cloudcomputing bij de opsporing is eerder een uitgebreid rapport (.pdf) van Koops verschenen. Omdat mensen in toenemende mate gegevens niet meer op hun computers, maar op servers van buitenlandse (cloud)dienstaanbieders opslaan, bieden de huidige bevoegdheden voor de vergaring van gegevens van computers op een locatie in Nederland volgens Opstelten onvoldoende mogelijkheden. Daar komt bij de dat de verdachte opmerkt als er een doorzoeking wordt gedaan en het bewijs wordt verzameld en dat kan “strijdig zijn in het belang van het onderzoek”, aldus de Memorie van Toelichting. Een belangrijk punt is dat sommige cloudaanbieders niet op grond van de bestaande bevoegdheden gedwongen kunnen worden een tap ten uitvoer te leggen of mee te werken aan een vorderen van gegevens. Expliciet wordt in de toelihcting het voorbeeld gegeven van “bullet proof hosting providers”  die vaak “anoniem, en vaak in resell constructies, illegale activiteiten ontplooien” en vaak “veelal in een land is gevestigd, waarmee Nederland niet of nauwelijks een rechtshulprelatie mee onderhoudt”. “Afscherming van de gegevens voor politie en justitie vormt een essentieel element van het bedrijfsmodel van deze aanbieders”.  Om die reden heeft de opsporing behoefte aan de mogelijkheid om heimelijk toegang te kunnen verkrijgen tot gegevens die in de cloud zijn opgeslagen, zonder dat de verdachte of de aanbieder daarbij is betrokken. Omdat van diensten uit het buitenland gebruik wordt gemaakt is het volgens de toelichting (grof gezegd) in veel gevallen een te grote belemmering om fysiek toegang te krijgen tot de plaats van waar de gegevens zich bevinden, terwijl dit technische wel goed mogelijk zou zijn. Bovendien zou het onder omstandigheden wenselijk zijn om – zelfs als de locatie wél duidelijk is – een technisch hulpmiddel (voor interceptie van netwerkverkeer of een doorzoeking van de gegevens) heimelijk te plaatsen.

Meer concreet worden de volgende hackbevoegdheden voorgesteld. Steeds wordt eerst verondersteld dat een computer wordt gehackt alvorens de andere methoden worden vastgesteld. De toelichting zegt dan ook: “de essentie van de voorgestelde bevoegdheid van onderzoek in een geautomatiseerd is dat op afstand heimelijk een geautomatiseerde werk wordt onderzocht, zonder dat de verdachte daar kennis van krijgt” (p. 14). Zie ook mijn analyse  van hacken als opsporingsbevoegdheid uit 2011.

De variaties op hacken als opsporingsmethode:

1.             Hacken teneinde de identiteit of locatie van de dader vast te stellen

Opstelten wil een opsporingsmethode voorstellen waarbij “als het ware sprake is van een virtuele plaatsopneming of inkijkoperatie, waarbij de aanwezigheid van gegevensbestanden of van gegevens in het geautomatiseerde werk of de gegevensdrager wordt vastgesteld”. Concreet kan daarbij gedacht worden aan:

–  het binnendringen van een router zodat kan worden achterhaald wat het identificerende kenmerk van de laptop van de verachte is zodat de toepassing van onderzoekshandelingen of de inzet van opsporingsbevoegdheden selectiever kan plaatsvinden.

– het binnendringen van een computer, waarvan alleen het Tor-adres bekend is, om het IP-adres vast te stellen teineinde een bevel tot het aftappen en opnemen van communiatie aan de aanbieder te kunnen afgeven.

– het binnendringen van een smartphone van een persoon, die crimineel contacten onderhoudt met een verdachte, om zijn identiteit vast te stellen.

– het in kaart brengen van de software die in het geautomatiseerde werk aanwezig is.

In het voorstel wordt aangegeven dat het ook kan gaan om het “vaststellen van e-mail berichten of e-mail berichten die inzage geven in de communicatie met andere personen over het beramen of plegen van ernstige strafbare feiten”. Tegelijkertijd wordt ook eerder aangegeven dat het vorderen van gegevens eerder moet worden overwogen bij aanbieders waarbij dat wel mogelijk is. De hackbevoegdheden vormen een ‘aanvulling’ op de bestaande bevoegdheden om bewijs bij webmail te vergaren door te tappen of gegevens te vorderen (p. 14). Het is mij onduidelijk gebleven of het ‘inkijken in webmail accounts’ of andere ‘online accounts’ (bijvoorbeeld van een forum of sociale netwerkdiensten zoals Facebook en Twitter) expliciet tot de mogelijkheden behoort. En als dat mogelijk is, onder welke omstandigheden.

Ook is het opvallend dat in het wetsvoorstel als voorbeelden van geautomatiseerde werken (computers) die gehackt kunnen worden slechts privécomputers, smartphones, een router (één keer genoemd) en servers (waarop bijvoorbeeld de infrastructuur ten behoeve van botnets draait) worden genoemd, terwijl de categorie “geautomatiseerd werk” in theorie veel groter is. Bits of Freedom riep al andere tweeps op om voorbeelden te geven van geautomatiseerde werken die eventueel gehackt voor bewijsdoeleinden konden worden en kwam zodoende al met autonavigatie, auto’s zelf en de slimme energiemeter. De tekst van de artikelen zelf sluit hacks van deze apparaten niet uit.

2.             Overnemen van gegevens

Met deze opsporingsmethode wordt bijvoorbeeld gedoeld op het vastleggen van afbeeldingen van kinderpornografie op een computer of van het verzamelen van informatie van “besloten communities”, “als de aanbieder niet kan worden vastgesteld of bereikt”.

Als voorbeeld wordt in de toelichting genoemd dat gegevens overgenomen kunnen worden uit een versleutelde harde schijf door middel van een ‘keylogger’, die de toetsaanslagen op een toetsenbord vastlegt. Ook kunnen gegevens worden overgenomen als die elders in de cloud liggen als de cloudaanbieder niet kan worden vastgesteld of onbereikbaar is. Dit laatste roept mij de vraag op of bij Amerikaanse cloudaanbieders die in de regel wel mogelijkheden bieden om bij hen gegevens te vorderen toepassing van de hackbevoegdheid en het overnemen van gegevens in dat geval wel of niet mogelijk is. De tekst van de toelichting suggereert later dat het wellicht mogelijk is te hacken (en gegevens over te nemen) als de heimelijke methode de voorkeur heeft.

3.             Ontoegankelijk maken van gegevens

Hierbij wordt zeer nadrukkelijk het voorbeeld van het onklaar maken van botnets genoemd (p. 17 van het voorstel). Het zou dan dienen als “voorlopige maatregel”. Maar goed, als het niet tot een rechtszaak in Nederland komt of hier bij een rechtbank over de maatregel wordt geklaagd is het meer een permanente maatregel lijkt mij. Ik denk dat ook gedacht kan worden aan het ontoegankelijk maken van kinderporno, zoals destijds in de Tor operatie is gebeurd. Het is de vraag of het straks ook voor andere misdrijven op Tor mogelijk zou zijn en of dat wenselijk is.

4.             Heimelijk aftappen en opnemen van communicatie

In het voorstel wordt uitgelegd dat het heimelijk aftappen ook ziet op het aftappen van communicatie bij aanbieders waarbij de aanbieder soms móét meewerken (de taplast). Op p. 19 wordt de situatie beschreven waarbij de opsporingsautoriteiten dat heimelijk willen doen, maar ik begrijp niet wat hier precies mee wordt bedoeld. Wellicht kan iemand anders dat uitleggen?

De tweede situatie ziet op het plaatsen van spyware (ook wel “policeware” genoemd) om op die manier communicatie heimelijk af te tappen. Daarbij gaat het volgens de toelichting vooral op het plaatsen van keyloggers om toetsaanslagen af te vangen en het aanzetten van een microfoon om een gesprek heimelijk af te luisteren. Maar let op: later worden ook andere functionaliteiten van de spyware toegelicht, “waarbij gedacht kan worden aan functionaliteiten als het opnemen van geluid, het maken van screenshots, het vastleggen van toetsaanslagen of het doorzoeken van bepaalde bestandmappen.” Afhankelijk van het bereiken doel zou in het bevel moeten worden vastgelegd welke functionaliteiten worden ingeschakeld (p. 28). Interessant is dat ook dat nadrukkelijk wordt genoemd dat het ook de mogelijkheid biedt “om communicatie op te nemen op een locatie die voor de opsporing niet goed bereikbaar is. (..) Dit kan eveneens een uitkomst bieden in de gevalleen waarin de locatie van de communicatie niet bekend is” (cursief toegevoegd). Ziet dat vooral op het aftappen van gegevens op computers in het buitenland?

Zie ook mijn blogbericht dat vanochtend is gepubliceerd op de LeidenLawBlog over het gebruik van spyware in de VS. In de Amerikaanse machtiging werd overigens door de FBI gewoonweg alle mogelijke functionaliteiten van de spyware noodzakelijk geacht..

5.             Stelselmatig observeren

Deze bevoegdheid was voor mij een verassing in het wetsvoorstel, omdat ik het nog niet eerder in Kamerstukken ben tegengekomen. De redenering is dat als de GPS van bijvoorbeeld een smartphone wordt aangezet de gedragingen en bewegingen zodanig in de gaten worden gehouden dat dit hetzelfde is als het stelselmatig observeren van een individu, waarvoor een bijzondere opsporingsbevoegdheid voor is vereist. Die redenering lijkt mij juist.

Volgens de toelichting zou deze optie een uitkomst bieden in de gevallen waarin de observatie met behulp van een observatieteam niet tot resultaat leidt of het van belang is dat de verdachte wordt aangehouden, maar zijn verblijfplaats niet bekend is.

Waarborgen voor hacken als opsporingsmethode

De toelichting op de waarborgen bij toepassing van de opsporingsmethoden is uitvoerig en daar ben ik blij mee. Terecht wordt erkend dat de methoden stuk voor stuk een ernstige inbreuk op (onder andere) het recht op privacy vormen en daar een gedetailleerde regeling voor noodzakelijk is. Een hackbevel zou voor maximale duur van 4 weken kunnen worden ingezet met telkens de mogelijkheid om het om de 4 weken te verlengen.

Opvallend vond ik ook de voorwaarde dat alvorens de opsporingsmethoden mogen worden toegepast, het door de Centrale Toetsings Commissie moet worden goedgekeurd (p. 29). Dat is nu bijvoorbeeld ook het geval bij toepassing van de bijzondere opsporingsbevoegdheid van infiltratie. Ik denk dat dit een sterke rem op het aantal keer dat het wordt toegepast zal trekken. Ook gezien het feit dat (volgens mij) infiltratietrajecten in de regel slechts een handjevol keren per jaar worden goedgekeurd.

Het gebruik van de hacksoftware moet voldoen aan de normen van het Besluit technische hulpmiddelen strafvordering, dat in verband met de voorstelde bevoegdheden moet worden aangepast (p. 28). Het technische hulpmiddel zou dan worden geprepareerd voor de inzet in het contret geval en onder meer de functie bevatten waarbij het functioneren van het hulpmiddel wordt vastgelegd, dat in de toelichting op het voorstel “logging” wordt genoemd. Ook moet het hulpmiddel “een zekere mate van voorspelbaarheid vertonen en moeten de authenticiteit en integriteit van de gegevens die door middel van het technische hulpmiddel worden vergaard, zijn gewaarborgd”.

Ook moet er een proces-verbaal, zoals verplicht is gesteld in art. 152 van het Wetboek van Strafvordering, worden opgemaakt.

Rechtsmacht

Een controversieel onderdeel van het wetsvoorstel is de toelichting op de extraterritoriale toepassing van de hackbevoegdheden (p. 34-37). Ik vind het wel veel beter toegelicht dan in de brief over de hackbevoegdheden aan het eind van vorig jaar, maar blijf het wel een complex verhaal vinden.

De redenering in de toelichting komt er volgens mij op neer dat indien Nederland de bevoegdheid heeft om rechtsmacht aan te nemen (bijvoorbeeld omdat een misdrijf vanuit het buitenland op ons territorium wordt gepleegd) er dan de bevoegdheid bestaat om opsporingshandelingen te verrichten (op grond van artikel 359a Sv). Zie: “Op grond van dit artikel kan worden opgetreden buiten het rechtsgebied van een rechtbank, binnen de grenzen van het volkenrecht en het internationale recht”, volgens de toelichting. Eerder heb ik samen met Conings in een artikel betoogd dat hier het probleem ligt, omdat er een algemeen verbod geldt om opsporingshandelingen zonder toestemming op het territorium van een andere staat uit te voeren. Bovendien viel volgens ons uit literatuur af te leiden dat een doorzoeking via internet op een geautomatiseerde werk internationaal rechtelijk gezien niet door de beugel kon, maar in de praktijk het wel voorkomt en een zekere acceptatie van staten hierbij viel te bespeuren.

In de Memorie van Toelichting wordt deze rechtspraktijk bevestigd. Door een werkgroep van de Raad van Europa van het Cybercrimeverdrag wordt bevestigd dat er “vanwege de technologische ontwikkelingen, de toenemende complexiteit en het internationale karakter van computercriminaliteit een toenemende behoefte is aan verstrekking van de bevoegdheden” ( aldus p. 36 van de Memorie van Toelichting). “Geconstateerd wordt dat opsporingsdiensten van veel staten zich in de praktijk toegang verschaffen tot gegevens die zijn opgeslagen in geautomatiseerde werken die zich op het grondgebied van andere staten bevinden, ten behoeve van het veiligstellen van elektronisch bewijs. Dit vloeit meestal voort uit het feit dat de opsporende staat niet zeker weet op welk grondgebied de gegevens zich bevinden.” Belangrijk is dat ook wordt opgemerkt dat ‘de praktijk volgens de Transborder Group geen grondslag vindt in (artikel 32 sub b van) het Cybercrimeverdrag’.

Toch wordt in de Memorie van Toelichting volgehouden dat de voorstellen volledig in lijn zijn met “het volkenrecht en internationaal recht”. Daar heb ik wel moeite mee. De motivatie is eigenlijk: ‘het is noodzakelijk, want het kan niet anders’ (“De noodzaak tot onverwijld optreden maakt dit onvermijdelijk en ook volkenrechtelijk goed verdedigbaar” (p. 37)). En tja, misschien is dat ook wel goed te verdedigen en voldoende motivatie. Als voorbeeld van een situatie waarbij dit goed te verdedigen zou zijn is volgens de toelichting wanneer van Tor gebruik wordt gemaakt en er sprake is van cloud computing. Naar mijn mening is het echter bij populaire cloud diensten prima duidelijk waar de gegevens achterhaalt (gevorderd) kunnen worden, namelijk de veelal Amerikaanse aanbieders zelf, eventueel onder de regels van de Verenigde Staten. Wel is het mijns inziens voorstelbaar dat de locatie van een botnetinfrastructuur achter allerlei lagen van anonismering (door middel van proxies en VPN verbindingen) ligt en daardoor ‘redelijkerwijs niet is te achterhalen’. Dit nog afgezien van het feit dat zelfs als die locatie wel bekend is de hostingprovider wellicht simpelweg niet meewerkt met de opsporingsdienst en de route van rechtshulpverzoeken geen zin heeft.

Ten tweede wordt geschreven dat: “Ook in het geval er bij de politie wel wetenschap bestaat van de feitelijke locatie van de gegevens kan – binnen de grenzen van artikel 539a Sv en onder de voorwaarden van (extra) territoriale rechtsmacht – zelfstandig worden opgetreden” (zie p. 35 van de toelichting). Die redenering en de noodzaak begrijp ik wat minder, behalve dat opsporingsautoriteiten de angst hebben dat als het niet heimelijk wordt vergaard er niet effectief bewijs kan worden verzameld binnen een opsporingsonderzoek. Toch zou het op dit punt wat mij betreft wel wat explicieter mogen worden gemaakt wanneer daarvan sprake is. Nu blijft Opstelten nog heel vaag en wordt opgemerkt (en als argument gebruikt?) dat het “sterk zal afhangen van de aard van de feitelijke handeling onder welke omstandigheden het volkenrecht zich verzet tegen zelfstandig optreden van de handhavende staat” en “ook andere staten meer ruimte zien voor zelfstandig optreden als het gaat om opsporingshandelingen met betrekking tot gegevens”. Misschien wordt in deze situatie gedacht aan bijvoorbeeld Gmail gegevens (zie ook deze blog daarover) van Nederlandse ingezetenen, maar dat is slechts speculatie.

Afgesloten wordt met de mededeling dat een Aanvullend Protocol op het Cybercrime Verdrag kan worden voorzien in aanvullende regelgeving voor situaties waarin gegevens in verschillende jurisdicties zijn opgeslagen of waarin de fysieke locatie van de gegevens niet bekend is (cursief toegevoegd). Blijkbaar wil de Nederlandse regering dat niet afwachten (wat ik enigszins begrijpelijk vindt, omdat het maar de vraag is of deze harmonisatie gaat lukken en er urgentie is om toch grensoverschrijdend bewijsmateriaal uit computers te kunnen vergaren), maar het is wel een beetje een loze overweging op deze manier.

Overigens neemt bovenstaande analyse bepaalde zorgen niet weg. Want hoe kunnen burgers er nu op vertrouwen, dat overheden alleen onder de voorwaarden zoals in hun eigen wetgeving is bepaald in hun computers kan worden ingebroken voor het vergaren van bewijs? Dat kunnen ze niet lijkt mij, omdat staten het blijkbaar mogelijk achten onder hun eigen straf-processuele regels grensoverschrijdend toegang kunnen verschaffen tot computers en verdere opsporingshandelingen te kunnen plegen. Ik vermoed dat op grond van het reciprociteitsprincipe, andere staten ook onder omstandigheden zouden kunnen inbreken op computersystemen in Nederland. Ook een belangrijke vraag vind ik hoe bedrijven nu met deze interpretatie en eventuele nieuwe bevoegdheden moeten omgaan. Moeten ze een eventuele hack door buitenlandse opsporingsdiensten behandelen als een beveiligingsincident? En heeft het voor hen zin om eventueel aangifte van hacking te doen? Ik ben dus benieuwd of bedrijven (denk aan Microsoft, Google, Facebook, Twitter en Linkedin, ISPs en hosting bedrijven (ook i.v.m. het NTD-bevel zie hieronder)) zich nog laten horen over dit voorstel.

Decryptiebevel

Over het voorstel voor een decryptiebevel heb ik eerder een korte blog geschreven en heeft Koops een uitgebreid onderzoek (.pdf) naar gedaan. Een belangrijke vraag van het decryptiebevel is wat mij betreft welke systemen precies ontsleuteld zouden moeten worden. Gaat het daarbij om het afgeven van wachtwoorden van bijvoorbeeld ook smartphones en online accounts? Het decryptiebevel wordt in het voorstel alleen mogelijk gemaakt bij bij kinderporno en terrorisme. Gaat dit bevel nu ook langs de Centrale Toetsings Commissie? Ik vond het in ieder geval goed dat in de toelichting wordt aangegeven dat een decryptiebevel aan de verdachte achteraf “doorgaans niet wenselijk is” en het “in zijn algemeenheid de voorkeur verdient om te kiezen voor een onderzoek in een geautomatiseerd werk om de gegevens vast te leggen waarmee de versleuteling ongedaan gemaakt kan worden” (p. 53). Anderen vinden wellicht een decryptiebevel minder vergaand. In ieder had Koops zijn voorkeur in het rapport (voorzichtig) uitgesproken voor een decryptiebevel boven het plaatsen van spyware.

Hoewel het voorstel uitvoerig wordt toegelicht (p. 49-68) mis ik toch een belangrijk element dat in het onderzoek van Koops naar voren kwam. Volgens mij concludeerde hij dat het decryptiebevel met een straf van ten hoogste 3 jaar, slechts mogelijk is in gevallen waarbij het Openbaar Ministerie kan bewijzen dat er strafbaar materiaal (kinderporno of bewijs van een terroristisch misdrijf) op de gegevensdragers wordt aangetroffen. Dat kan volgens hem bijvoorbeeld soms worden bewezen met behulp van een internettap. Ik concludeerde daaruit dat slechts in een heel beperkt aantal gevallen mogelijk is. Maar in de toelichting lijkt aan die voorwaarde te worden voorbij gegaan. Het is daarom des te meer de vraag of de voorgestelde regeling niet een ontoelaatbare inbreuk maakt op het recht om niet mee te werken aan je eigen veroordeling (afgeleid uit artikel 6 EVRM). Het zou ook kunnen dat het daar niet mee in strijd is; het is simpelweg onduidelijk, omdat er geen jurisprudentie op dit precieze onderwerp voorhanden is.

NTD-bevel

Het Notice and Take Down bevel uit het conceptwetsvoorstel versterking computercriminaliteit uit 2010 doet weer zijn intreden! Destijds had ik daar dit artikel en deze blog over geschreven. De belangrijkste conclusies daaruit waren dat een machtiging van een rechter-commissaris bij een NTD-bevel op zijn plaats zou zijn en de bestuurlijke boete op niet-nakoming van het bevel uiterst merkwaardig was. Gelukkig is nu wel een machtiging van een R-C vereist en is de bestuurlijke boete komen te vervallen.

Het is de bedoeling dat een dergelijk bevel alleen wordt afgegeven als er geen succesvol beroep kan worden gedaan op de Notice and Take Down gedragscode. Daarnaast wordt benadrukt dat het bevel ook kan worden afgegeven aan beheerders van een website en hostingproviders die eventueel de gedragscode niet hebben ondertekend (zie p. 45).

Wat voor mij onduidelijk blijft is hoe de ontoegankelijkheidsmaking van een website moet worden uitgevoerd. In 2010 werd in de toelichting nog duidelijk de mogelijkheid open gelaten dat websites, “zoals de Pirate Bay”, verplicht eruit gefilterd zouden moeten worden. Valt onder de ontoegankelijkheidsmakting nu ook een filterverplichting (door de blokkade van de IP-adressen wellicht)?

Conclusie

Tot slot wil ik nog één ding extra benadrukken: de bevoegdheden om botnets of aanvallen op vitale infrastructuur te bestrijden is maar een klein onderdeel van het voorstel, let ook op de andere ‘details’ van het voorstel.

Vanochtend werd nog eens door Ronald Prins van Fox-IT benadrukt dat hij de bevoegdheden vooral wenselijk acht voor de bestrijding van botnets, maar liever niet gebruikt ziet worden bij opsporing van de meer traditionele delicten. Hoogleraar Bart Jacobs had eerder in het NJB ook betoogd dat de bevoegdheden wellicht wenselijk is voor de bestrijding van botnets en tegen aanvallen op vitale ICT infrastructuur, maar niet voor ‘normale opsporing’. Tenslotte verscheen een week geleden ook een PhD met de boodschap dat het hacken van botnets wellicht de enige effectieve manier is om botnets effectief te bestrijden.

De eensgezindheid van deze security guru’s vind ik opvallend en vormen naar mijn mening een heel belangrijk signaal. Wel vraag ik mij af of het mogelijk maken van deze maatregelen het meest passen binnen het Wetboek van Strafvordering en BOB-bevoegdheden die toch vooral zien op de bewijsvergaring in strafzaken, waarna een persoon eventueel door een Nederlandse zittingsrechter wordt veroordeeld. Het lijkt hier meer te gaan om ‘handhaving van de rechtsorde’ of zelfs inlichtingendienstenwerk (zie ook p. 44: “het enkele verstoren van het kennisnemen van gegevens behoort tot de mogelijkheden. Dit is van belang bij de bestrijding van botnets”). Tegelijkertijd heb ik hier te weinig verstand van zaken van om in te schatten waar en hoe slechts die maatregelen beter geregeld zouden moeten worden.

De oproep de bevoegdheden alleen mogelijk te maken voor de bestrijding van botnets en aanvallen op vitale infrastructuur staat in contrast met het voorstel. De hackbevoegdheden zouden namelijk moeten gelden voor de misdrijven genoemd in art. 67 van het Wetboek van Strafvordering die een ernstige inbreuk op de rechtsorde vormen. Daarbij kan óók gedacht worden van misdrijven zoals moord, drugshandel, mensenhandel, omvangrijke milieudelicten, wapenhandel en ernstige financiële misdrijven, zoals ernstige fraude, aldus de toelichting (p. 13).

Als het wetsvoorstel uiteindelijk wordt aangenomen wordt een arsenaal aan nieuwe (digitale) opsporingsbevoegdheden mogelijk gemaakt. Voor de alledaagse opsporingspraktijk is het misschien nog wel relevanter dat onder omstandigheden in online accounts kunnen worden ‘ingekeken’, gegevens na een hack via internet kunnen worden gekopieerd en in de toekomst de smartphone wellicht een sleutelrol krijgt in opsporingsonderzoeken omdat het een soort wandelend spionagekastje voor de opsporingsinstanties kan vormen. Ik ben wel blij dat in ieder geval bijzondere zware voorwaarden voorgesteld voor de voorgestelde nieuwe opsporingsmogelijkheden voor politie en justitie.

Ik kijk uit naar reacties op het conceptwetvoorstel en houd de ontwikkelen verder nauwlettend in de gaten!

Hoge Raad roept OM terug over uitbreiding begrip virtuele kinderporno

jjoerlemans Een reactie plaatsen

Posted on 15/04/2013 on Oerlemansblog

De Hoge Raad heeft op 12 maart 2013 arrest gewezen in een zaak over het bezit van virtuele kinderpornografie (HR 12 maart 2013, ECLI:NL:HR:2013:BY9719). De zaak gaat over de reikwijdte van de strafbaarstelling van kinderpornografie (strafbaar gesteld in artikel 240b van het Wetboek van Strafrecht).

Het Openbaar Ministerie betoogde dat het verbod op bezit van kinderporno zich ook strekt over alle afbeeldingen die “niet evident levensecht zijn”. Volgens het Openbaar Ministerie en de advocaat-generaal is het ook de bedoeling van de wetgever geweest om “aanmoediging of verleiding van kinderen tot deelneming aan seksueel gedrag” met de strafbaarstelling van virtuele kinderporno strafbaar te stellen. Slechts “daadwerkelijk creatieve en kunstzinnige afbeeldingen” dienen van de strafbaarstelling te worden uitgezonderd. Volgens mij zou de interpretatie argumenten geven om bijvoorbeeld niet realistische tekeningen, schilderijen en cartoons met seks met minderjarigen onder het begrip kinderpornografie te laten vallen.

De Hoge Raad bevestigt een eerdere uitspraak van het Hof Den Bosch en geeft aan dat de afbeeldingen in die zaak op de computer gemaakt zijn en een “artificieel karakter”  hebben waardoor ze niet onder de definitie van kinderporno vallen. “Daarvoor is immers nodig dat de afbeelding schijnbaar levensechte kinderporno verbeeldt” (..) “Het morele gehalte van deze afbeeldingen kan hieraan niet afdoen”, aldus het Hof Den Bosch. Het hof benadrukt dat in slechts 3 gevallen van kinderporno sprake is: (1) een afbeelding van een echt kind; (2) een afbeelding van een echt persoon die eruit ziet als een kind; (3) een realistische afbeelding van een niet bestaand kind.

De Hoge Raad is het niet eens met het Openbaar Ministerie en de advocaat-generaal dat op basis van internationaal recht onder kinderpornografie ook niet realistische afbeeldingen van niet-bestaande kinderen moet worden verstaan. De wetgever is duidelijk geweest in haar bedoelingen en het begrip kan niet zonder een wetswijziging worden uitgebreid.

De zaak bevestigt indirect de uitspraak van het Hof Arnhem van 12 april 2012 (LJN BW3415, 21-000016-11), waarin wordt aangegeven dat Hentai-afbeeldingen (Japanse erotische cartoons in Manga-stijl) geen realistische afbeeldingen zijn en dus (vooralsnog) niet als kinderpornografie kan worden gekwalificeerd. Het arrest schept in ieder geval weer wat duidelijkheid over wat nu wel en niet onder virtuele kinderporno moet worden verstaan.

Is a decryption order a good idea?

jjoerlemans Een reactie plaatsen

Posted on 14/12/2012 on Oerlemansblog

In December 2010, the Robert M.-case shocked the Netherlands. Robert M. was prosecuted and convicted for the sexual abuse of 67 children, of which many were younger than 3 years old. During the investigation the police found that the suspect used high grade encryption, impossible to crack without using the proper key. Fortunately for the police and public prosecutor, Robert M. gave up his key voluntarily. Other suspects derived from the Robert M-case did not cooperate so well. This led Members of the Parliament to call for a so-called ‘decryption order’, by way of which suspects could be forced to give up their key. The Minister of Safety and Justice commissioned research into the feasibility of decryption orders in the light of the right against self incrimination. About two weeks ago the research was published and it concluded that theoretically it is possible to regulate the decryption order. As a result, the Minister of Safety and Justice enthusiastically announced (in Dutch) the preparation of new regulations to make decryption orders possible in cases of child pornography and terrorist crimes. However, in my opinion, we should think twice before going down this path.

The decryption order

Prof. Koops of Tilburg University conducted thorough and in my view excellent research (.pdf in Dutch) into decryption orders. Both the technical and legal aspects were taken into consideration and a legal comparison was made from many different countries. An English summary of the report can be found here (.pdf). The author suggests that a decryption order (under threat of a criminal sentence) is legally possible, but only under stringent conditions. For example, the order could only be given in cases in which there are clear indications that the suspect is hiding something by using encryption.

Proving that the suspect probably used encryption to hide his criminal activities may be difficult, especially when certain encryption programs such as ‘TrueCrypt’ are used. The report warns that decryption orders may advance the use of such programs among criminals. In Great Britain (obviously a much bigger country than the Netherlands), governmental power was successfully used in only a handful of cases per year. What I found even more interesting is that public prosecutors were very skeptical about the practical uses of this governmental power. They preferred obtaining the key using alternative methods, namely by intercepting keys remotely via the Internet. The author of the report does not deny that this is an interesting and feasible alternative route to take, but suggests that legislator should choose between the two. Instead, the Ministry of Safety and Justice suggests in his letter we should do both.

Note that the ‘solution’ of a decryption order is limited to accessing data stored on a device at a different phase of a criminal investigation. An important argument for using alternative methods, more concretely the use of hacking, spyware and bugs as investigatory methods, is that they also aid law enforcement in dealing with the growing problem of the encryption of communications (not just stored data) and avoids the active cooperation of suspects in their own criminal case.

The least privacy infringing solution for the encryption problem?

The decryption order is considered by some (including prof. Koops) as the least privacy intrusive solution for the encryption problem. I dare to disagree. The solution of a ‘decryption order’ may be more far-reaching than most people think. As suggested in the report, it should include disabling the security measures on all computer devices, such as laptops, tablet computers and smartphones. It also may be possible for the government to force civilians to hand over passwords to access online social media services, webmail services and personal online storage services.

Forcing civilians under a criminal sanction to actively help law enforcement by providing them with access to their own data is incredibly intrusive and would be new to the criminal law system. The fact it may be theoretically possible to regulate a decryption order under the threat of a criminal sanction does not mean that we should.

Surveilleren en opsporen op internet

jjoerlemans Een reactie plaatsen

Posted on 10/09/2012 op Oerlemansblog

Mag de politie in het kader van toezicht stelselmatig gegevens vergaren uit open bronnen van internet? In hoeverre mogen politie en justitie gegevens van internet verzamelen over (groepen) mensen in het kader van opsporing? In het tijdschrift Justitiële Verkenningen (nr. 5, 2012, p. 35-49) gaan Bert-Jaap Koops en ik op deze vragen in. In dit blogbericht wil ik kort de belangrijkste punten uit het artikel behandelen. Het gehele artikel is hier te downloaden (.pdf).

‘De politie mag onbeperkt gegevens van internet vergaren’

In de praktijk lijken sommige politieambtenaren de indruk te hebben dat alles wat op internet in open bronnen is te vinden gebruikt mag worden voor toezicht- en opsporingsdoeleinden. In het artikel trachten wij duidelijk te maken dat dit niet het geval is, omdat het handelen van de politie specifiek geregeld is in wet- en regelgeving. De hoofdregel daarbij is dat daar waar een meer dan geringe inbreuk in de persoonlijke levenssfeer van mensen wordt gemaakt, een specifieke wettelijke regeling voorhanden moet zijn. Koops en ik hebben de indruk dat bij het monitoren van gegevens van mensen op internet voor toezichtdoeleinden al snel een meer dan geringe privacyinbreuk wordt gemaakt en daar op dit moment geen afdoende wettelijke regeling voor is.

Bij surveilleren en opsporen op internet gaat het allang niet meer om een ‘Googelende opsporingsambtenaar’, maar om politiesystemen waarmee snel en efficiënt gegevens op internet kunnen worden afgestruind op zoek naar de relevante informatie. Het is niet helemaal duidelijk wat de politiesystemen precies kunnen en wat met een ‘near real time Internet monitoring service’ wordt bedoelt, maar documenten die zijn vrijgekomen na een Wob-verzoek op de website van het NCTB lichten een tipje van de sluier op.

Wij zijn met betrekking tot het vergaren van gegevens op internet met geautomatiseerde ICT-toepassingen van mening dat het gebruik van deze systemen op basis van art. 2 Politiewet 1993 onvoldoende voorzienbaar is voor burgers en de wetgever zich moet uitspreken over deze gegevensverwerkingen. Als zij vinden dat het gebruik van deze systemen noodzakelijk is voor een effectief politieoptreden zou zij daarvoor (naar onze mening) een nieuwe wettelijke grondslag met waarborgen voor het gebruik daarvan moeten creëren.

Opsporen op internet

Het vergaren van gegevens op internet voor toezichtsdoeleinden moet in theorie gescheiden worden van het vergaren van gegevens voor opsporingsdoeleinden. Soms lopen de twee in elkaar over, maar op dit moment is het zo dat in kader van opsporing de politie (meestal in opdracht van een officier van justitie) meer ernstige privacyinbreuken mogen worden gemaakt door middel van toepassing van  bijzondere  0psporingsbevoegdheden. Al eind jaren ‘90 heeft de wetgever met de Wet bijzondere opsporingsbevoegdheden ( Wet BOB ) te kennen gegeven dat opsporingsbevoegden ook op internet mogen worden toegepast. Het is echter niet helemaal duidelijk wat de reikwijdte van deze bevoegdheden in een internetomgeving precies is.

Op dit moment lijkt het afhankelijk van de interpretatie van opsporingsambtenaren (en soms een officier van justitie als die erbij betrokken wordt) hoe ver ze kunnen gaan bij het vergaren van informatie op internet. Er is ook opvallend weinig jurisprudentie over voorhanden, behalve één gepubliceerde zaak waarbij de rechter te kennen gaf dat een opsporingsambtenaar van Google Earth in zijn onderzoek gebruik mag maken. Tegelijkertijd gaf de rechter aan dat ‘de bevoegdheid om rond te kijken in een openbaar netwerk niet de bevoegdheid impliceert om stelselmatig voor de uitoefening van de politietaak gegevens van internet te downloaden en in een politieregister op te slaan’.

Koops en ik zijn het zelf ook niet helemaal over eens op welk moment nu precies bij het vergaren van gegevens uit open bronnen op internet een meer dan geringe inbreuk wordt gemaakt op de persoonlijke levenssfeer van de betrokkenen. Dit leggen we in het artikel ook uit. Wel zijn wij het er over eens dat het criterium van een ‘meer dan geringe privacyinbreuk’ leidend is en dat wanneer daarvan sprake is het vergaren van gegevens door de politie zou kunnen worden ondergebracht onder de bijzondere opsporingsbevoegdheid van stelselmatige observatie (art. 126g Sv). Maar zelfs die bijzondere opsporingsbevoegdheid slaat niet naadloos aan bij de opsporingshandeling van politie en justitie op internet. Dit zetten we in het artikel verder uiteen.

Daarom concluderen we dat: ‘de wetgever deze problematiek bewust moet analyseren en zich daarbij moeten baseren op de huidige internetomgeving, die veel verder is ontwikkeld en er anders uitziet dan in 2000 het geval was’ (p. 47). Eventueel zou voor opsporen op internet het criterium ‘stelselmatigheid’, waarbij een ‘min of meer volledig beeld van een bepaald aspect van het leven van een persoon wordt verkregen’ leidend kunnen blijven. Daarbij zou de bijzondere opsporingsbevoegdheid van stelselmatige observatie toegepast kunnen blijven worden, maar het is wenselijk als de wetgever dit expliciet maakt (om ongewenste interpretaties van de wet te voorkomen) of een andere wettelijke grondslag voor de opsporingshandeling creëert. In de tussentijd kunnen advocaten met een actieve proceshouding de opsporingspraktijk aan de kaak stellen. Rechters zullen zich daar vervolgens moeten over uitspreken, waardoor het wet- en regelgevingskader voor surveilleren en opsporen op internet meer helder wordt.

Debat over aftappen

jjoerlemans Een reactie plaatsen

Posted on 05/06/2012 on Oerlemansblog

Twee weken geleden (23 mei 2012) heb ik een seminar bijgewoond over aftappen naar aanleiding van het WODC-onderzoek ‘het gebruik van de telefoon- en internettap in de opsporing‘. De media schreef over het rapport met name dat ‘Nederland koploper in aftappen is’ (zie bijvoorbeeld nu.nl).

Kamerleden duikelden vervolgens over elkaar heen om in de media te herhalen dat het een schande is dat Nederlands koploper is en de notificatieplicht moet worden nagekomen. Andere onderzoeksresultaten uit het rapport zijn verder nauwelijks ter sprake gekomen. In dit bericht wil ik daar enkele opmerkingen over maken.

Telefoontap minder effectief?

Al voor het seminar begon en het rapport officieel aan het publiek beschikbaar werd gesteld kwam de Volkskrant al met het bericht dat de ‘telefoontap steeds minder effectief wordt’. Dat was misschien niet zo netjes van de Volkskrant, maar het haalde wel een belangrijke boodschap uit het rapport. Namelijk dat steeds meer mensen van andere communicatiemiddelen dan de telefoon gebruik maken en daardoor niet alle communicatie meer over de reguliere tap komt. Het is daarom niet verbazend dat opsporingsdiensten meer van de internettap gebruik zijn gaan maken en het aantal ingezette internettaps is verdubbeld van 1704 taps in 2010 naar 3331 taps in 2011. Volgens de demissionaire regering (brief van 25 mei 2012, Kamerstukken II 2011/12, 30 517, nr. 25)is dat te verklaren door de toename van het gebruik van internettoepassingen op smartphones. De WODC-onderzoekers geven aan dat door gebrek aan capaciteit en kennis bij de politie het aantal ingezette internettaps nog relatief laag is gebleven.

De vermeende ineffectiviteit heeft niet geleid tot een daling van het aantal taps. De traditionele telefoontap is zelfs meer ingezet dan ooit (van 22006 in 2010 naar 24718 in 2011). De telefoontap blijkt nog steeds een effectieve opsporingsmethode te zijn. In de brief van de regering wordt bevestigd dat de telefoontap vooral nuttig indirect bewijsmateriaal oplevert. Soms geeft het ook aanleiding tot een effectieve en efficiënte inzet van andere opsporingsbevoegdheden. Tijdens het seminar werd ook door een officier van justitie toegelicht dat een verdachte soms wel van 8 prepaid telefoons gebruik maakt en dat kan ook (deels) een verklaring leveren voor het hoge aantal ingezette taps. Persoonlijk kreeg ik bij het seminar de indruk (door het gebrek aan debat daarover) dat de internettap nog niet zo’n grote rol speelt in opsporingsonderzoeken. Deze opsporingsbevoegdheid is volgens mij vooral relevant in de meer high tech opsporingsonderzoeken waarbij verdachten voornamelijk via internet communiceren. Afgevraagd kan worden of dit in de toekomst gaat veranderen als steeds meer mensen voor hun communicatie vooral van internet gebruik maken. Ik denk dat het belangrijk is daar nu al over na te denken en debat te voeren.

De overwegingen in de brief van de regering over de internettap vond ik zelf wel interessant en die wil ik hier nog kort uitlichtten. Over de internettap werd gezegd dat inmiddels ‘geselecteerde internettoepassingen’ kunnen worden afgetapt, waardoor niet het gehele netwerkverkeer hoeft te worden geanalyseerd. Naast dat dit efficiënter is, komt dat natuurlijk ook de privacy van de betrokkene ten goede. Opstelten geeft nogmaals aan ‘zowel nationaal als internationaal wordt onderzocht of er aanpassing van wet- en regelgeving nodig is om ook op internet de juiste mogelijkheden te hebben voor de opsporing’. Voor het zomerreces moet de Kamer daarover worden geïnformeerd.

In mijn eigen artikel over de internettap geef ik aan dat door versleuteling het in toenemende mate lastig wordt de inhoud van communicatie via internet af te tappen. Tegelijkertijd kan met de inzet van alternatieve opsporingsmethoden veel worden bereikt. De bijzondere opsporingsbevoegdheid van direct afluisteren (artikel 126l Sv), inclusief de mogelijkheid tot het plaatsen van een keylogger, biedt mogelijk een interessant alternatief om het probleem van versleuteling te omzeilen. De opsporingsbevoegdheid mag in een woning echter slechts worden toegepast bij misdrijven waar een gevangenisstraf van 8 jaar of meer op staat. De praktische toepassing van deze opsporingsmethode is daardoor beperkt. In de Verenigde Staten wordt wellicht vaker van deze opsporingsmethode gebruik gemaakt om het probleem van versleuteling te omzeilen. Zie bijvoorbeeld ook deze analyse cryptografiedeskundige Matt Blaze over de Amerikaanse ‘wiretap report’ van 2010 (die van 2011 verschijnt hopelijk later deze maand).

Het is mij niet duidelijk geworden in hoeverre opsporingsdiensten in Nederland concreet gehinderd worden door versleuteling. Ook ben ik benieuwd in hoeverre de nieuwe versie van het IP-protocol (IPv6) in de nabije toekomst mogelijk een probleem gaat vormen voor opsporingsdiensten. Wellicht zou de Nederlandse politie daar over wat meer kunnen zeggen naar voorbeeld van hun overzeese collega’s. In de Verenigde Staten probeert de FBI namelijk duidelijk te maken dat dit wel degelijk een probleem is. Zie daarover bijvoorbeeld dit interessante bericht op CNET.

Reactie Kamerleden

Van de reactie van Kamerleden had ik om eerlijk te zijn wel wat meer verwacht. Kamerlid El Fassed stuurde twee dagen voor het verschijnen van het rapport een viertal Kamervragen in. In mijn ogen maakt hij terecht een punt over het verschaffen van transparantie over het aantal vorderingen van gegevens bij sociale mediadiensten. Ik zie niet in hoe informatie over het aantal verzoeken tot gevolg kan hebben dat verdachten hun gedrag daarop zouden aanpassen, zoals staatssecretaris Teeven eerder heeft aangegeven.

Daarnaast stelt El Fassed de vraag of het niet verstandig zou zijn of voor het aftappen van telefoons en sociale media door opsporingsautoriteiten dezelfde voorwaarden moeten gelden. Blijkbaar is El Fassed of GroenLinks niet goed op de hoogte van de wetgeving. Sociale mediadiensten zijn (vooralsnog?) niet aftapplichtig; daar kunnen slechts gegevens worden gevorderd. Voor het vorderen van opgeslagen gegevens (o.g.v. artikel 126ng lid 2 Sv) gelden verder dezelfde voorwaarden als voor een telecommunicatietap. Dit heb ik overigens ook uitvoerig uiteen gezet in mijn artikel over de internettap.

Persoonlijk vind ik het jammer dat een debat over de niet-aftapbaarheid van telecommunicatie en telecommunicatiediensten die zich soms aan de aftapplicht lijken te onttrekken is uitgebleven. Wat mij betreft zijn dit ook belangrijke vragen waar over gediscussieerd moet worden. Wellicht biedt de toekomstige brief van Opstelten over opsporingsbevoegdheden op internet hiervoor een mooie aanleiding.

De Belgische ‘online doorzoeking’

jjoerlemans Een reactie plaatsen

Posted on 19/04/2012 on Oerlemansblog

In België wordt in artikel 88ter Wetboek van Strafvordering de zogenaamde ‘netwerkzoeking’ geregeld. Aan het artikel kan een zeer brede betekenis worden toegekend. Zelfs zo breed dat het de grondslag zou kunnen vormen van tot een ‘online doorzoeking’ in het buitenland.

In dit blogbericht wil ik de bevoegdheid kort analyseren en een vergelijking maken met het Nederlandse equivalent zoals geregeld in artikel 125j van het Nederlandse Wetboek van Strafvordering. Daarbij wil ik opmerken dat het slechts mijn eerste gedachten zijn over het onderwerp. Als iemand mij kan en wil verbeteren, dan graag! .

Belgische netwerkzoeking

De Belgische netwerkzoeking is een op zichzelf staande opsporingsbevoegdheid en geen opsporingsbevoegdheid die slechts in het verlengde staat van een andere bevoegdheid, zoals een huiszoeking of doorzoeking ter vastlegging van gegevens. Wel kan een machtiging tot een netwerkzoeking door een rechter tijdens een zoeking worden afgegeven als blijkt dat een betrokken verdachte van een bepaalde systemen gebruik maakt om daar vervolgens een zoeking te doen. De zoeking zou elke mogelijke technische en procedurele vorm kunnen inhouden en daarmee zijn de mogelijkheden van opsporingsbevoegdheid zeer breed.

Zelfs zo breed dat in literatuur (Zie voor een heldere uitleg bijvoorbeeld J. Kerkhofs & P. van Linthout, ‘Cybercriminaliteit doorgelicht’, Tijdschrift voor Strafrecht 2010, nr. 4, pp. 179-199) als voorbeeld wordt genoemd dat met een voorhanden inlognaam en wachtwoord ook de webmail van een verdachte (bijvoorbeeld Gmail en Hotmail) kan worden onderzocht. Denkbaar is dat opsporingsambtenaren zo’n inlognaam en wachtwoord tijdens een huiszoeking op een briefje ergens vinden, tijdens een tap wordt onderschept, of zelfs met software of een ‘bug’ op het toetsenbord wordt onderschept (als die opsporingsmethode tenminste in de wetgeving mogelijk is gemaakt). Met de netwerkzoeking-bevoegdheid zou dan volgens de Belgen op het geautomatiseerde werk (in casu de webserver) een zoeking kunnen plaatsvinden.

Dit vind ik een bepaald vergaande bevoegdheid dat mijns inziens wel degelijk op hacken als opsporingsbevoegdheid neerkomt. Er wordt immers onder een valse hoedanigheid een (persoonlijk) geautomatiseerd werk van een verdachte binnengedrongen. Het idee is volgens mij dat, omdat er een wettelijke bevoegdheid (in België) voorhanden is voor een dergelijke opsporingshandeling geen sprake van het delict (hacken) zou zijn. De opsporingsmethode zelf komt in het spraakgebruik nog steeds neer op hacken. Bovendien wordt in bepaalde gevallen in feite op een geautomatiseerd systeem (server) van een bedrijf gezocht die daarvoor geen toestemming heeft geven en wellicht in het buitenland staat. Zowel het betrokken bedrijf of de betrokken staat kan dat nog steeds als een delict of inbreuk op haar soevereiniteit zien. De enige beperking van de netwerkzoeking lijkt te zijn dat niet op slinkse wijze of met een technische voorziening computers gehackt mogen worden. De toegang moet dus rechtmatig verkregen zijn, bijvoorbeeld door het vergaren van de inloggegeven met een andere opsporingsbevoegdheid. Ik vraag mij af of het ook mogelijk zou zijn netwerken overal ter wereld te doorzoeken, indien een systeembeheerder daar bijvoorbeeld toegang toe heeft en de toegangscodes aan opsporingsinstanties afgeeft. Hopelijk wordt dat dan wel even met een jurist van het betrokken bedrijf overlegt.

België heeft het Cybercrimeverdrag niet geratificeerd waarin verdragstaten overeen
zijn gekomen dat gegevens slechts met voorafgaande toestemming van de rechthebbende
of met rechtshulp grensoverschrijdend gegevens kunnen worden verkregen. De partijen waren er tijdens de onderhandeling niet uitgekomen dat een grensoverschrijdende netwerkzoeking mogelijk zou zijn, wellicht omdat zij zich in hun soevereiniteit geschonden voelen. Dat betekent dat de normale volkenrechtelijke regels gelden en strafvorderlijke bevoegdheden in principe niet over de grens mogen worden toegepast. De kans bestaat naar mijn mening dat een andere staat of bedrijf naar aanleiding van zo’n actie de Belgische Staat voor een (internationale?) rechter sleept. Het is blijkbaar de bedoeling dat bij de Belgische netwerkzoeking de verantwoordelijke voor het systeem waar een zoeking plaatsvindt geïnformeerd wordt. Dit is echter alleen noodzakelijk indien de identiteit van de verantwoordelijke redelijkerwijze kan worden vastgesteld. De
auteurs Kerkhofs en Linthout wijzen er tevens op dat voor de bepaling geen termijn voor de informering voorschrijft en niet op straffe van een sanctie is voorgeschreven.

Netwerkzoeking in Nederland

Naar aanleiding van het bovenstaande moet natuurlijk afgevraagd worden of in Nederland ook met het equivalent van de Belgische netwerkzoeking in het buitenland systemen mogen worden doorzoeken. Uit de wettekst zelf en wetsgeschiedenis kan worden afgeleid artikel 125j Sv een netwerkzoeking mogelijk maakt als vervolg van de inzet van een bevoegdheid tot het doorzoeken ter vastlegging van gegevens zoals geregeld in artikel 125i Sv. Indien bijvoorbeeld een doorzoeking ter vastlegging van gegevens plaatsvindt op een computer bij een bedrijf, dan kan de doorzoeking zich tevens uitstrekken tot andere computers binnen een bedrijfsnetwerk of zelfs met computers die met het netwerk verbonden zijn en binnen Nederlands territoir bevinden. De bevoegdheid kan alleen worden ingezet indien wordt vermoed dat bepaalde gegevens op die andere computers gevonden zullen worden. Deze laatste eis geldt echter ook in België.

De Nederlandse bevoegdheid tot een netwerkzoeking is daardoor beperkter in zijn aard dan de Belgische (zie ook Koops, in ‘De dynamiek van cybercrime-wetgeving in Europa en Nederland’, p. 17 en 18). Andere opsporingsbevoegdheden bieden naar mijn mening tevens onvoldoende legitimatie tot het op afstand doorzoeken van gegevens op een geautomatiseerd werk (zie ook dit artikel van mij en dit blogbericht).


Conclusie

De Belgische netwerkzoeking kan onder omstandigheden een ‘online doorzoeking’ in het buitenland mogelijk maken. In Nederland is deze opsporingshandeling naar mijn mening niet toegestaan, omdat de Nederlandse netwerkzoeking geen op zichzelf staande opsporingsbevoegdheid is en hacken (nog) geen opsporingsbevoegdheid is.

Naar mijn mening is de Belgische netwerkzoeking zeer vergaand, maar pragmatisch. Het biedt opsporingsambtenaren de mogelijkheid grensoverschrijdend gegevens te vergaren in dezelfde systemen als waar een verdachte gebruik van maakt, mits rechtmatig toegang wordt verkregen tot die systemen op basis van andere bevoegdheden. Echter, het kan leiden tot een ontransparante opsporingspraktijk waarbij heimelijk informatie wordt vergaard (al dan niet in het buitenland). Zelfs als een brave Belgische opsporingsambtenaar de verantwoordelijke over het gebruik van de bevoegdheid inlicht vindt het bedrijf het wellicht niet voldoende aanleiding (of te veel moeite?) om er een probleem van te maken of een procedure te starten. Indien dergelijke opsporingshandelingen niet via officiële rechtshulpverzoeken gaan worden de opsporingshandelingen die een inbreuk maken op de persoonlijke levenssfeer van de betrokken aan het toezicht van de betrokken staat onttrokken. Dit kan de rechtsbescherming van de betrokkene in gevaar brengen, zeker wanneer de verdachte zich op territoir buiten België bevindt. Inzet van de opsporingsmethode kan leiden tot
diplomatieke spanningen als een staat van de netwerkzoeking op de hoogte raakt. Daarbij moet wel worden aangetekend dat dit afhankelijk is van de omstandigheden van het geval, de afspraken die onderling zijn gemaakt en de opsporingspraktijk. Ik ben daarom heel benieuwd hoe de bevoegdheid in de praktijk gaat uitwerken en in hoeverre hier procedures uit volgen.