End-to-end-encryptie

End-to-end-encryptie (end-to-end encryption (E2EE), ook end-to-end-versleuteling of begin-tot-eindversleuteling) is het versleutelen van berichten op een zodanige wijze dat alleen de zender en ontvanger de inhoud van berichten kunnen lezen.

Hoewel E2EE communicatie met behoud van privacy mogelijk maakt, geldt dit slechts tot op zekere hoogte. Man-in-the-middle-aanvallen, zwakke eindpunten en achterdeurtjes zijn uitdagingen die de veiligheid teniet kunnen doen. Ook kunnen de communicerende partijen zelf getroffen worden door een hack of het anderszins ongewenst inzien van berichten, voor- of nadat de berichten versleuteld zijn.

Hoewel de inhoud van versleutelde berichten zelf niet in te zien is, valt uit metadata soms voldoende af te leiden dat de privacy van de communicerende partijen alsnog kan schenden. Het niet kunnen inzien van berichten werpt een drempel op voor politie, justitie of veiligheidsdiensten bij het volgen van criminele of terroristische activiteiten.

Toepassing

Messengers

Een verzameling van regels en afspraken, in het geval van E2EE voor het versleutelen en ontsleutelen van berichten, wordt een protocol genoemd. Een protocol dat in gebruik is door verschillende messengers zoals Signal, WhatsApp en Facebook Messenger is Signal Protocol. Dit protocol gebruikt verschillende technieken om een E2EE-verbinding mogelijk te maken waaronder het Double Ratchet-algoritme, elliptische curve Diffie-Hellman (ECDH) en AES-256. Skype maakt standaard gebruik van een eigen, propriëtair protocol voor het versleutelen van berichten maar privégesprekken worden versleuteld met het Signal Protocol.

Controverses

Misdaadbestrijding

Sky Global was een Canadese aanbieder van versleutelde smartphones en de versleutelde berichtenapp Sky ECC. Het bedrijf installeerde versleutelingssoftware op smartphones. Een belangrijk deel van de gebruikers bevond zich in het criminele circuit. De activiteiten werden gestaakt nadat politieacties in verschillende landen leidden tot inbeslagname van servers en de arrestatie van verschillende sleutelpersonen.^[1]

Europol en de Europese politiediensten kantten zich in een gemeenschappelijke verklaring eind april 2024 tegen het uitrollen van end-to-end-encryptie op de sociale mediaplatformen, in de strijd tegen ernstige misdrijven.^[2] Die misdrijven, en meer bepaald kinderpornografie, dienden ook als hoofdargument voor de geplande Europese Verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen (“chat control”).^[3]

Zwakke eindpunten

In 2013 ontdekten de websites The H en Ars Technica onafhankelijk van elkaar dat Microsoft berichten zou scannen die verzonden zijn via zijn messenger Skype. De berichten bevatten webadressen die speciaal voor de proeven waren aangemaakt, waarna een IP-adres van Microsoft de url's inderdaad bezocht wat volgens de websites alleen mogelijk is als de inhoud van de berichten gelezen kon worden.^[4][5] Volgens Dan Goodin van Ars Technica gebeurde dat regelmatig: "The results—which were similar but not identical to those reported last week by The H Security—prove conclusively that Microsoft not only has ability to peer at the plaintext sent from one Skype user to another, but that the company regularly flexes that monitoring muscle.".^[5] Echter, volgens Ed Bott van ZDNet ging het om een legitieme beveiligingsfunctie waarbij het SmartScreen-filter de berichten heeft gescand en gecontroleerd op phishing of spam.^[6]

Op de systemen van de zender en ontvanger, bijvoorbeeld pc's of smartphones, worden versleutelde berichten gedecodeerd zodat de gebruiker het bericht kan lezen. Dit creëert een probleem omdat het makkelijker is om in te breken op een systeem dan om de codering van de E2EE te kraken.^[7] Met behulp van verschillende technieken als brute force, keyloggers of social engineering is het voor zowel een persoon als software of een script mogelijk om het wachtwoord van het systeem te achterhalen. Software kan zonder medeweten van de gebruiker de berichten scannen en informatie doorsturen. Dit is zelfs mogelijk wanneer een app op een smartphone in een zogenaamde container geplaatst wordt, zoals Apple's mobiele besturingssysteem iOS werkt. Door een app in een container te plaatsen, is deze afgeschermd van andere apps. Er kan geen overdracht van data plaatsvinden. Echter, in iOS 8 (2014) werden zogenaamde extensions geïntroduceerd, mini-apps die ingebed zitten in een parent-app.^[8] Nadat WhatsApp in 2014 werd overgenomen door Facebook, werd de iOS-app van WhatsApp in de container van Facebook geplaatst (group.com.facebook.family) waardoor het voor Facebook technisch mogelijk werd om de ontsleutelde WhatsApp-berichten uit te lezen.

Bronnen, noten en/of referenties

1. CEO en medewerkers Sky Global aangeklaagd. Emerce (15 maart 2021). Gearchiveerd op 6 april 2021.
2. (en) European Police Chiefs call for industry and governments to take action against end-to-end encryption roll-out. Europol (21 april 2024). Gearchiveerd op 21 april2024.
3. Voorstel voor een Verordening (…) tot vaststelling van regels ter voorkoming en bestrijding van seksueel misbruik van kinderen (COM(2022) 209 final - 2022/0155(COD). Europese Commissie (11 mei 2022).
4. (en) Walker-Morgan, DJ, Skype with care – Microsoft is reading everything you write. The H (14 mei 2013). Gearchiveerd op 31 mei 2023.
5. (en) Goodin, Dan, Think your Skype messages get end-to-end encryption? Think again. Ars Technica (20 mei 2013). Gearchiveerd op 3 juni 2023.
6. (en) Bott, Ed, Is Microsoft reading your Skype instant messages?. ZDNet (15 mei 2013). Gearchiveerd op 31 maart 2023.
7. (en) Jakub, Limits of end-to-end encryption. Infosec Handbook (31 augustus 2018). Gearchiveerd op 25 september 2020. Geraadpleegd op 3 september 2020.
8. (en) Zanon, Gregorio, No, end-to-end encryption does not prevent Facebook from accessing WhatsApp chats. Medium (12 april 2018).