Wie mag er meekijken op uw smartphone?
In december vorig jaar pleegde een echtpaar een terroristische aanslag in San Bernardino, California, waarbij veertien mensen omkwamen. Na de aanslag vond de FBI een iPhone van een van de terroristen. In dit soort gevallen vraagt de FBI bij Apple een kopie op van de back-up van de data. Apple voldoet normaal gesproken aan dit soort verzoeken, maar in dit geval is er geen recente back-up en wil de FBI dat Apple helpt bij het unlocken van de telefoon, om zo de meest recente gegevens te achterhalen. Dit kan de FBI niet langer zelf, omdat de beveiligingsmaatregelen op de iPhone steeds sterker zijn geworden: na tien foute pincodes wist de telefoon alle data. De beveiliging is echter niet waterdicht. Apple kan namelijk een software-update voor de telefoon maken waarbij de controle op het aantal geprobeerde pincodes omzeild wordt. In feite een update met een ‘backdoor’. Een rechter heeft onlangs Apple de opdracht gegeven om zo’n update te maken voor deze specifieke iPhone en die aan de FBI ter beschikking te stellen. Zodat de onderzoekers van de FBI de iPhone zelf kunnen updaten en unlocken door alle mogelijke pincodes te proberen.
De rechter draagt Apple op een eigen product te hacken, en die hack aan een derde ter beschikking te stellen. Dit is een verregaand verzoek. Apple vecht daarom de uitspraak van de rechter aan en voert als als argument aan dat zo’n tool in de handen van een derde partij de beveiliging van alle iPhones in de wereld verzwakt.
De rechter had Apple ook kunnen verzoeken zelf het apparaat te unlocken en vervolgens de data aan de FBI ter beschikking te stellen. Ook in dat geval zou Apple een update met een backdoor moeten maken om zelf bij de data te kunnen. Maar de hack zelf zou niet in handen van een derde partij terecht komen. In beide gevallen schept dit een precedent. Amerikaanse rechters kunnen ook in andere gevallen Apple – en daarnaast andere bedrijven – opdragen een software-update met een achterdeur te maken. En andere landen, denk aan China of Syrië, zouden Apple vergelijkbare opdrachten kunnen geven.
Apple zou hierop kunnen anticiperen door het proces zo aan te passen dat bij een update altijd de toestemming van de eigenaar nodig is (dat wil zeggen: de telefoon is niet meer gelocked). Zonder die toestemming wist de update altijd de data op de telefoon. Data op een gelockte iPhone is dan altijd veilig. De (Amerikaanse) overheid zou daarop kunnen reageren door van Apple te éisen dat ze dat niet doen, en altijd de mogelijkheid openlaten om, na een verzoek van de autoriteiten, bij de data te kunnen. Een permanente backdoor dus. Technisch zou dat kunnen op een manier waarop alleen Apple bij de data kan, en alleen als het technologiebedrijf de betreffende iPhone in zijn bezit heeft.
De vraag is: is dat wenselijk?
Is het redelijk om in sommige – extreme – gevallen toegang te eisen tot de gegevens op een PC of smartphone? Bedrijven zoals Apple zijn al verplicht mee te werken bij de opsporing van een misdrijf en relevante data in hun bezit over te dragen. Moeten we een stap verder gaan en van fabrikanten eisen dat ze een achterdeur openhouden die toegang kan verlenen tot gegevens die ze niet zelf hebben maar wel op apparaten staan die ze gemaakt hebben?
En wie krijgt dan toegang? De opsporingsdiensten zelf toegang geven zet de deur tot onze PC’s en telefoons ook open voor de Syrische of Chinese politie. Alleen de fabrikant toegang geven kan, maar dan nog is er het risico dat de ‘sleutel’ in handen van derden valt. En sowieso kan ook dan de Syrische of Chinese overheid Apple natuurlijk om assistentie vragen. We moeten ons afvragen of we wel toe moeten naar een situatie waar een commercieel bedrijf beslist of onze data wel of niet overhandigd worden aan de overheid. Zeker voor zoiets als een smartphone, die onze intiemste gedachten kent.
Ik sta eerlijk gezegd in tweestrijd bij het beantwoorden van deze belangrijke vragen. Wie denkt er mee? Reageer AUB!
Door Jaap-Henk Hoepman, Scientific Director Privacy & Identity lab in samenwerking met kennisplatform cqure.nl
