Security (b)log: privacy

Posts tonen met het label privacy. Alle posts tonen

vrijdag 26 juni 2026

Mentaliteit en realiteit

Afbeelding: Unsplash

“De mentaliteit is aan het omslaan. Nu de realiteit nog”, verzuchtte een collega. Kun je raden over welk onderwerp dit gesprek ging? Het zou over best wel veel dingen kunnen gaan, bedenk ik net. Bijvoorbeeld over gezond eten, roken, bewegen, noem maar op. Maar hé, dit is wel de Security (b)log hè.

Het gesprek ging over ICT in relatie tot de geopolitieke situatie. Dat laatste is een nette manier om te zeggen: we vinden de Amerikanen niet meer zo lief als vroeger (omdat ze ons pesten). Vooruit, het gaat niet alleen om het wispelturige gedrag van de VS. Ook een land als China maakt het ons niet makkelijk: we kunnen niet zonder hen, maar we willen liever niets met ze te maken hebben. Maar op ICT-gebied zijn toch vooral de Amerikaanse producten zichtbaar (de Chinese producten zitten verstopt in de hardware).

De hele discussie rondom digitale soevereiniteit draait erom dat we minder afhankelijk willen zijn van Amerikaanse ICT. Want ‘ze’ kunnen zo maar iets uitzetten of in onze gegevens snuffelen, is het sentiment in onze contreien. Dat voelt bepaald niet prettig. Europa wordt zich steeds bewuster van de noodzaak, maar ook de mogelijkheid, om zelfstandiger te worden. Dat bedoelde die collega met: “De mentaliteit is aan het omslaan.”

En de realiteit? We hebben onszelf lang wijsgemaakt dat we niet tegen de Amerikaanse techreuzen met hun schaalvoordeel op kunnen. Maar die zijn ook ooit uit het niets begonnen. En misschien is het in het begin een beetje duurder om je gegevens in een Europese cloud te stallen – als je eenmaal hebt besloten dat het anders moet, dan moet je ook bereid zijn daar een prijs voor te betalen. Maar het hoeft helemaal niet duurder te zijn. Het kan zelfs goedkoper zijn. De Office-toepassingen van Microsoft kosten geld, terwijl bijvoorbeeld LibreOffice en FreeOffice (beide juridisch in Duitsland gevestigd) helemaal gratis te gebruiken zijn.

Er zijn nog veel meer niet-Amerikaanse alternatieven voor Amerikaanse software. Ik werd getipt dat een OSINT-specialist van de FIOD daar een mooi overzicht van had gemaakt (OSINT = open source intelligence; inlichtingen vergaren uit openbare bronnen). Deze collega geeft alternatieven voor maar liefst 21 categorieën software. Ik noem er een paar: e-mail, VPN, browser, zoekmachine, AI-assistent, cloud & opslag, kaarten & navigatie. In elke categorie noemt hij de de facto standaard, gevolgd door diverse Europese alternatieven. En hij legt uit waarom de nummer 1 zijn voorkeur heeft. Het is niet zomaar een lijstje, hij heeft er echt onderzoek voor gedaan: reviews en discussies gelezen, informatie van websites gehaald, dingen zelf uitgeprobeerd. Dat heeft, met de hulp van AI, geresulteerd in een fraai document.

Het slechte nieuws is dat het overzicht niet online staat. Daarom geef ik hier een paar voorbeelden. Voor e-mail staat het Zwitserse Proton Mail op nummer één als alternatief voor Gmail en Outlook, “omdat het de sterkste encryptie combineert met onafhankelijke audits, een groot ecosysteem en het grootste bereik”. Als favoriete VPN-leverancier komt het Zweedse Mullvad naar boven, “omdat het de strengste invulling van privacy biedt: geen identiteit nodig, contant te betalen en herhaaldelijk geaudit”. Ook in de categorie browser staat Mullvad bovenaan, “omdat het de fingerprint-bescherming van Tor combineert met de snelheid van een gewone browser”.

Als zoekmachine kun je het beste Qwant uit Frankrijk gebruiken: “geen profilering, en bruikbare resultaten voor dagelijks gebruik”. In die categorie wordt ook Mojeek genoemd, met als pluspunt dat het een eigen index gebruikt (en dus niet op de resultaten van Google of Bing leunt). Voor kunstmatige intelligentie kun je terecht bij het Franse Mistral Le Chat/Vibe of, als vertrouwelijkheid belangrijk is, bij het Zwitserse Proton Lumo. Bij datzelfde Proton kom je ook uit voor cloudopslag, “omdat het versleuteling, gemak en integratie met de rest van je Proton-account combineert”. En als je van Google Maps af wilt, kijk dan eens naar Organic Maps: “snel, gratis, offline en zonder enige tracking”.

Toen ik eind vorige eeuw voor het eerst in New York was, hield een dronken Ier een rede in de metro. Zijn jammerklacht betrof het verdwijnen van een rechtstreekse verbinding tussen New York en Shannon Airport, en zijn steeds herhalende riedel eindigde steevast met: “It’s all a matter of economics.” En zo is het ook met onze digitale soevereiniteit: het is allemaal economisch gedreven. Het verschil is wel dat jij zelf, als je dat wilt, iets kunt doen om weer baas van je eigen data te worden.

Op 2 en 4 juni was ik met Security (b)log LIVE op de Liefde voor je vakweek. Collega’s waren uitgenodigd om hun verhaal te vertellen. Deze blog is de tweede uit een serie waarin deze input is verwerkt.

En in de grote boze buitenwereld …

vrijdag 12 juni 2026

Lekkende cruise

Afbeelding: Unsplash

Ze hadden hun zoveelste cruise gemaakt. Ook deze keer hadden ze droge voeten gehouden, maar er was toch een lek geweest, zo bleek achteraf. Een datalek. En net als destijds bij de Titanic werd er gedaan alsof er niets aan de hand was.

Onze opvarenden hadden geen persoonlijk bericht ontvangen over het feit dat hún data waren gelekt. Ze kwamen er slechts bij toeval achter. In Europa wapperen we dan al snel verontwaardigd met de AVG: ze moeten me toch inlichten als mijn gegevens lekken?! Maar zo eenvoudig ligt het niet. Om te beginnen moet de lekkende organisatie zelf bepalen of een melding bij de Autoriteit Persoonsgegevens (AP) vereist is. Dat hoeft niet als “het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen”, zo valt bij de AP te lezen. De gelekte informatie bevatte persoonsgegevens (onder andere van de varende collega), dus daar kom je waarschijnlijk niet mee weg.

Vervolgens moet de lekkende partij dit melden bij de slachtoffers, en nu komt het: áls het datalek waarschijnlijk een hoog risico voor hen oplevert. Ook deze inschatting moet de organisatie zelf maken, uiteraard gebaseerd op de AVG-regels. Als persoonsgegevens zijn gestolen door een hacker, dan is het risico wel duidelijk, aldus de AP. Met deze situatie hebben we hier inderdaad te maken: vorige maand stuurde Carnival Corporation, het moederbedrijf van Carnival Cruise Line, brieven naar klanten over een cyberbeveiligingsincident (maar dus niet naar álle klanten). Een maand eerder wist een aanvaller via social engineering toegang te krijgen tot IT-systemen van Carnival en heeft hij persoonlijke gegevens van klanten gekopieerd. Het gaat daarbij om naam, e-mailadres, geboortedatum, geslacht en nog wat specifieke Carnival-gegevens.

Het hoofdkantoor van Carnival Corporation is gevestigd in Miami. Aha, hoor ik je beteuterd denken, dat ligt ruim buiten de EU, dan heb ik niks aan die mooie AVG. Fout! De AVG kent, met een chic woord, extraterritoriale werking: als een bedrijf van buiten de EU zich (ook) op de Europese markt richt, dan valt het onder de AVG. En als ik het allemaal bij elkaar optel, dan lijkt me dat een persoonlijke melding aan de betrokkenen hier wel aan de orde is.

Tenzij… Ja, tenzij de gegevens versleuteld waren, het datalek is beëindigd voordat iets met de data kon worden gedaan, of het informeren van alle slachtoffers een onevenredige inspanning van het bedrijf zou vergen, bijvoorbeeld omdat ze geen contactgegevens (meer) hebben. In dat laatste geval mogen ze het in de krant of op social media zetten.

Kortom: zo gemakkelijk is het nog niet. We weten wel hoe het in dit geval is gelopen: niet. Daarom vroeg de gelekte collega mij wat je in zo’n geval zelf kunt doen. De AP heeft daar een mooi overzicht van gemaakt. Daar staat onder andere in dat je gelekte wachtwoorden moet wijzigen; dat is inderdaad het allereerste wat je doet. Ze zeggen dat je ook bij andere accounts en apps je wachtwoord moet wijzigen, als dat hetzelfde is als het gelekte wachtwoord. Nu zie je meteen waarom je geen wachtwoorden moet hergebruiken: je krijgt het druk na een lek. Want die criminelen gaan je wachtwoord van website A gewoon uitproberen bij website B tot en met Z. Uiteraard had je overal waar dat kan al lang multifactorauthenticatie aan staan.

Je moet na zo’n lek ook extra alert zijn op phishing. Die phishing kan geraffineerder zijn dan de 13-in-een-dozijn phishingmailtjes, omdat ze nu niet alleen je e-mailadres hebben, maar nog veel meer informatie, waarmee ze de mailtjes lekker persoonlijk kunnen maken.

Met alleen maar een bankrekeningnummer (IBAN) of BSN kan een crimineel niet veel, stelt de AP ons gerust. Maar let wel op voor de combinatie van gegevens – een kopietje van je ID-bewijs kan een gamechanger zijn als het om identiteitsfraude gaat.

Samengevat: wees alert…

En in de grote boze buitenwereld …

vrijdag 21 februari 2025

In de wachtkamer

Afbeelding via Pixabay

In de best wel volle trein kwam ik naast een man te zitten die op zijn laptop zat te werken. Een vluchtige blik op het apparaat en de openstaande programma’s identificeerde hem als collega.

Op een gegeven moment zat hij in een telefoongesprek. Ik luisterde niet actief mee, maar ik hoorde natuurlijk wel iets. En wat ik hoorde, stemde mij zeer tevreden. Om te beginnen sprak hij zachtjes, en in korte zinnen. Het was eigenlijk vooral luisteren en af en toe kort reageren. Ik hoorde hem geen informatie geven. Keurig, collega!

Hoe anders is de ervaring van een collega, die in de wachtkamer van de tandarts zat. Nou ja, wachtkamer: in een hoekje van de receptie stonden wat stoelen. Achter de balie zaten twee assistentes. De ene, Toos*, zat met enige wanhoop in de ogen door computerschermen heen te klikken en zei uiteindelijk: “Ik kan de gegevens van mevrouw Dekker niet vinden in TND.” Haar collega Cindy vroeg naar de geboortedatum van mevrouw Dekker. “Aha,” zei Cindy, “ze is van 1999 en daarom staat ze nog niet in TND. Wat is haar telefoonnummer, dan bel ik haar wel even.” Toos las het telefoonnummer op en Cindy ging bellen.

“Goedemorgen mevrouw Dekker, met Cindy, assistente van tandarts Kroon. Ik heb even wat gegevens van u nodig om uw behandeling in ons systeem op te nemen. Wat zijn uw voorletters? ABG? Mooi. En uw BSN? Ja natuurlijk, ik wacht wel even. (…) Ah, daar bent u weer. Ja, ik schrijf mee. 1-1-2-7 5-5 9-5-0? Dank u wel. En als laatste heb ik nog uw adres nodig. De Beugel 5? 8462 DR? Mooi zo, dan heb ik alles compleet. Zullen we maar meteen de eerste afspraak voor uw wortelkanaalbehandeling maken? Kunt u vrijdag om 9 uur? Prima. Als ik dan nog uw e-mailadres mag, dan stuur ik u een bevestiging. marlies@dekker.com? Prima, dan zien we u overmorgen. Prettige dag nog!”

Onze collega kon zijn oren haast niet geloven. Hij had nu een compleet setje persoonsgegevens van iemand en hij wist wanneer mevrouw Dekker niet thuis zou zijn. Door de informatie over haar behandeling wist hij bovendien dat ze wel even een poosje weg zou blijven.

“Ha, handig, met deze informatie kan ik identiteitsfraude plegen.” Of: “Mooi, dan leg ik mijn inbrekersgereedschap alvast klaar.” Ik geef toe dat de kans, dat de onbedoeld gedeelde informatie toevallig terechtkomt in de oren van een cyber- of fysieke crimineel niet zo heel groot is. Maar dan nog: iedereen voelt aan z’n water dat wat hier gebeurde gewoon niet hoort. Als dat allemaal hoort, dan weet je dat ze ook zo omgaan met jouw gegevens. Daar zou jij je ook niet lekker bij voelen. En stel je eens voor dat onze wachtende collega een kennis van mevrouw Dekker was. Komt hij haar een week later tegen: “Hé Marlies, hoe gaat het met je kies?” Dat zou toch raar zijn?

Maar er is natuurlijk ook een juridisch probleem. De nietsvermoedende, goedbedoelende tandartsassistentes hebben niet alleen persoonsgegevens, maar zelfs medische gegevens gelekt. Onder de AVG (de Europese Algemene Verordening Gegevensbescherming) hebben die de status van bijzondere persoonsgegevens, waar nog strengere regels voor gelden dan voor gewone persoonsgegevens.

Toos en Cindy deden gewoon hun werk. Zij kunnen er ook niks aan doen dat tandarts Kroon een afgescheiden wachtkamer zonde van het geld vond. Het telefoongesprek elders voeren kon ook niet, want dan kon Cindy de gegevens niet in het systeem zetten. Datalekken zijn in deze situatie dan ook voorgeprogrammeerd. Zeker als mensen zich niet bewust zijn van wat er gebeurt. Een datalek zit in een klein hoekje.

Ik wil ook nog even kijken wat er aan de andere kant van de lijn gebeurde. Wat als het helemaal niet de tandartsassistente was die mevrouw Dekker belde, maar iemand die eropuit was om persoonsgegevens te verzamelen? De kans is natuurlijk klein dat zo iemand net belt als je met kiespijn rondloopt. Maar als je die omstandigheid weglaat, dan wordt het een ander verhaal. Als iemand die je niet kent om gegevens vraagt, zeg dan dat je terugbelt. Bel dan naar het algemene nummer van het bedrijf en vraag naar de persoon die jou zojuist belde. Als dat niet kan, vraag dan of ze inderdaad gegevens nodig hadden. Zo voorkom je dat je zelf je eigen gegevens lekt.

*) Uiteraard zijn alle persoons- en systeemgegevens aan mijn fantasie ontsproten.

En in de grote boze buitenwereld …

vrijdag 13 september 2024

Heksen en dark patterns

Afbeelding via Pixabay

Zwarte Magica heet ze en ze woont op de Vesuvius. Ze is de gezworen vijand van Dagobert Duck, want ze wil zijn geluksdubbeltje stelen om dat in de lava van haar vulkaan om te smelten tot een amulet, dat haar ongekende macht moet geven.

De naam van deze stripfiguur komt onwillekeurig in mij op als ik de term dark patterns hoor. Niet alleen vanwege de overeenkomst in kleur, maar ook omdat ze een gelijksoortige doelstelling hebben: stiekem iets van je afpakken om er zelf beter van te worden.

Je komt dark patterns dagelijks tegen als je het internet betreedt en zo’n irritante cookie-melding krijgt. Het is je vast al eens opgevallen dat de knop om overal mee in te stemmen vaak erg prominent aanwezig is, terwijl je met een lampje moet zoeken naar de mogelijkheid om daarvan af te wijken. Of dat je heel vaak moet klikken omdat de optie ‘alles uit’ ontbreekt. Een dark pattern stuurt de gebruiker door misleiding een bepaalde kant op, zodat je klikt op de voor die site gunstigste optie, of om je tot een aankoop te verleiden, of om je meer gegevens te laten verstrekken dan je zou moeten willen. Er zijn vele vormen van dark patterns. Ik zal er een paar met je doornemen, en je zult ze allemaal herkennen. En omdat de Engelse benamingen daarin overheersen én illustratiever zijn dan de schaarse Nederlandse vertalingen, zal ik die gebruiken. Overigens gebruiken verschillende bronnen verschillende benamingen.

- Confirshaming is een mooie samentrekking van bevestiging en schaamte: bij de vraag of je dat lekkere verse voedsel wilt bestellen staat bij de optie ‘nee’ een toevoeging als: “Ik eet vanavond wel een magnetronmaaltijd”.

- Nog zo’n mooie term is privacy zuckering, waar natuurlijk een verwijzing naar Mark Zuckerbergs Facebook in zit. Hierbij gaat het erom dat je meer persoonlijke informatie met je netwerk deelt dan je eigenlijk zou willen.

- Misschien wilde je wel eens bepaalde software downloaden die je op het internet had gevonden. Je klikte op die grote, groene downloadknop en kreeg vervolgens iets heel anders dan je wilde. Je keek nog eens goed en zag dat je voor de software, die je eigenlijk wilde hebben, op een wat minder opvallende knop had moeten klikken. Dat noemen ze disguised ads (vermomde advertentie).

- “Boek snel! Nog maar 3 kamers beschikbaar!” Als je wel eens een vakantie boekt, dan ken je deze vast wel. Dit heet fake scarcity (nepschaarste). Door te doen alsof de aanbieding aan je neus voorbij dreigt te gaan, willen ze je verleiden om snel te beslissen.

- Soms vraag je je af of reviews wel echt zijn. Beoordelingen van collega-klanten kunnen je helpen bij je keuze, maar als de aanbieder zelf achter die jubelteksten zit, dan is er sprake van fake social proof.

- Hard to cancel kwam ik een keer tegen bij het aanbod van een loterij om abonnee te worden met een gegarandeerde “prijs” in de eerste maand. Gratis geld laat ik niet graag liggen, maar ik was van begin af aan van plan om na die eerste maand op te zeggen. In tegenstelling tot het instappen kon het uitstappen niet online; ik moest bellen, en kreeg na lang wachten iemand aan de lijn die nogal nors reageerde op mijn opzegging.

- Een andere bekende vorm van dark patterns heet nagging (zeuren). Dan krijg je bijvoorbeeld in een app steeds weer het aanbod om de betaalde versie te nemen, of om een bepaalde functie aan te zetten. Soms heeft de afwijzing de vorm van “misschien later”, wat je als een soort van belofte van jouw kant kunt zien. Het idee achter nagging is – net als in het echte leven – dat je ergens mee instemt om ervan af te zijn.

- Oh ja, preselection (vooringevulde keuze). Dan staat de optie “Ik ontvang graag uw nieuwsbrief” alvast handig aangevinkt. Vaak zit er ook nog meer achter – zoals je het gevoel willen geven dat andere mensen ook voor een bepaalde optie kiezen.

Dit alles brengt ons op de vraag: mag dat allemaal zomaar? Nou, dat hangt ervan af. Soms is het gewoon slimme marketing, zoals in het voorbeeld van confirshaming. Het verhaal wordt anders als er duidelijk sprake is van misleiding, zoals bij valse reviews. De European Data Protection Board heeft een dik rapport over dit onderwerp gepubliceerd. Natuurlijk komt daarin de AVG ter sprake, want daarin is transparantie een belangrijk begrip, terwijl de term dark patterns al aangeeft dat transparantie daarbij ver te zoeken is. De AVG hanteert verder het principe van behoorlijkheid: jouw gegevens worden in jouw belang verwerkt en dat gebeurt in lijn met wat je redelijkerwijs zou kunnen verwachten. Ook privacy by default is een belangrijk uitgangspunt; alle opties, die een inbreuk op je privacy zouden kunnen maken, moeten standaard uit staan. Dat gaat dus fout in het voorbeeld van de nieuwsbrief, net zoals op pagina’s waarop je cookie-voorkeuren kunt instellen en waar dan alles aan staat.

Sommige dingen mogen dus, ook al zijn ze niet netjes of zelfs onethisch. Misschien wist je nog niet dat dit fenomeen dark patterns heet en welke wereld daarachter schuilgaat. Nu je het wel weet, ga je er misschien in de toekomst anders mee om. Zelf houd ik er wel van om iemand die mij wil pakken terug te pakken door lekker het tegenovergestelde te doen van wat hij wil. Zwarte Magica krijgt mijn geluksdubbeltje in ieder geval niet!

En in de grote boze buitenwereld …

vrijdag 12 juli 2024

Ik zie, ik zie wat jij niet ziet

Afbeelding via Pixabay

Het was een warme dinsdagmiddag in zo’n zomer die maar niet wil losbarsten. Dan pak je wat je pakken kunt, en dus zaten ze in hun Utrechtse achtertuin te genieten van die ene mooie dag. Plots werd de rust wreed verstoord door geschreeuw en gebonk op de tuinpoort. Verschrikt sprongen ze op.

Door de spleten in de poort zagen ze stukjes van een vrouw die verwilderd uit haar ogen keek. “Laat me erin, dit is mijn huis!”, krijste ze. Nou, dat gingen ze maar even niet doen. Uitleggen dat de vrouw toch echt bij het verkeerde huis, ja zelfs in de verkeerde straat stond, had geen effect op deze dame, die duidelijk onder invloed van het een en ander verkeerde. Ze bleef maar op de poort bonken. Nou klinkt ‘poort’ erg solide, maar in feite was het een constructie van waaibomenhout die aan inferieure scharnieren hing, en de rechtmatige eigenaren vreesden dat die niet meer heel lang stand zou houden.

Hoogste tijd op de politie te bellen. Die was snel ter plaatse, zoals dat in hun jargon zo mooi heet, en ze begrepen al gauw dat ze de persoon in kwestie maar het beste konden meenemen, want in de huidige staat was er geen land mee te bezeilen. Ze propten haar achterin de auto en reden weg. Het werd weer rustig in de straat.

De buurtbewoners waren natuurlijk zowel geschrokken als nieuwsgierig. De meesten waren niet thuis toen dit gebeurde, of aan het stofzuigen, waardoor ze niks hadden gehoord. De overburen hadden een beveiligingscamera. Zou daar iets op te zien zijn? Bingo! Het stond er allemaal op. Toen de vrouw kwam aanlopen, keek ze zelfs even recht in de camera. Ook de politieactie was prachtig in beeld gebracht. Het filmpje werd gedeeld in de buurtappgroep – niet voor de sensatie, maar uit het besef dat die dame binnen de kortste keren weer vrij zou rondlopen, en dat de straat dan toch graag voorbereid zou willen zijn.

Als ik in die straat zou wonen, dan zou ik die informatie ook willen hebben. Je wilt toch je gezin en je eigendommen beschermen, nietwaar. Ik zou dan ook, als gewone burger, niet aarzelen om de beelden te delen met belanghebbenden. Maar vanuit mijn vak vraag ik me tegelijkertijd af: mag dat eigenlijk wel? Hoe zit dat met de privacy? Ook mensen die iets verkeerds doen hebben daar recht op. De Algemene Verordening Gegevensbescherming (AVG) is Europese wetgeving die onze privacy reguleert. Ieder land heeft een AVG-toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens (AP). De AP is de perfecte bron om op zoek te gaan naar het antwoord op mijn vraag.

Je mag beelden, waarop personen herkenbaar in beeld zijn, niet zonder hun toestemming delen, lees ik daar. Dus niet op internet zetten en ook niet delen via social media. Maar er geldt wel een uitzondering voor persoonlijk of huishoudelijk gebruik: “De voorwaarde hierbij is dat deze persoon de foto’s en filmpjes privé houdt of hooguit in een zeer beperkte kring deelt. Bijvoorbeeld in een kleine appgroep.” Dat van die ‘kleine appgroep’ is een beetje vreemd, want elk lid van die groep zou de beelden verder kunnen verspreiden. Misschien zie je ze wel terug op Dumpert.

Er speelt nog meer. Je mag ‘eigenlijk’ ook niet de openbare weg filmen. Want dat betekent een aantasting van de privacy van elke passant. Nou snappen ze bij de AP best dat het soms niet anders kan dan dat je camera een stukje van de straat meefilmt. Maar ook dan gelden er regels. De meest voor de hand liggende: zoom zoveel mogelijk in op je eigendommen, met andere woorden: maak de schending van de regels zo klein mogelijk. Beelden bewaren hoeft eigenlijk ook niet, maar daar lijken geen concrete regels voor te zijn, want de AP zegt hierover: “Verwijder de beelden zodra u die niet meer nodig heeft. Bijvoorbeeld na 24 uur.” Ook moet je mensen informeren over je camera en de beelden goed beveiligen – want als je gehackt wordt, dan heb je een datalek.

Er zit een dubbele moraal in de regel dat je de openbare ruimte niet mag filmen. Want als er bij jou in de straat iets gebeurt, dan wil de politie maar wat graag de beelden van jouw ‘illegale’ camera hebben – ze kunnen die beelden zelfs vorderen, met andere woorden: je bent verplicht om ze af te staan. Het mag dus niet, maar als je het toch doet, dan helpt dat misschien bij de bestrijding van misdaad.

En in de grote boze buitenwereld …

vrijdag 12 april 2024

Girls Day

Afbeelding via Pixabay

Het was zo’n verregende donderdagochtend waarop je zelf voor de lichtpuntjes moet zorgen. Nou, dat kon, want ik was op weg om een bijzondere presentatie te geven. Onze personeelsmensen hadden de jaarlijkse Girls Day georganiseerd, voor 14- en 15-jarige meisjes van de naastgelegen middelbare school. Ik was de eerste mannelijke (en misschien ook wel de oudste) spreker in de geschiedenis van Girls Day. Eén ding was duidelijk: ik moest hier niet aankomen met een verhaal over hoe wij beveiliging plegen. Mijn verhaal moest over die meiden gaan.

Ik wilde de leerlingen iets laten zien over hun digitale voetafdruk. En dus vroeg ik een paar weken geleden de deelnemerslijst op en googelde de namen. Je had hun gezichten moeten zien toen ik dat vertelde! Grote ogen, angstige blikken uitwisselend met hun vriendinnen. Ik vertelde er meteen bij dat ik geen namen ging noemen en dat ik niks herkenbaars op het scherm zou zetten. Dat stelde ze enigszins gerust. Maar ik had wel hun volle aandacht.

Mijn zoektocht leverde aanvankelijk een vrij onschuldige oogst op: er zaten de nodige sportieve meisjes tussen, variërend van turnsters tot amazones (compleet met de naam van het paard). Van meer dan de helft was op deze manier niets te vinden. Een bepaald meisje gaf echter meer prijs. Ze had namelijk – waarschijnlijk onbedoeld – haar presentaties voor de driehoeksgesprekken openbaar gemaakt (driehoeksgesprekken zijn de moderne vorm van de ouderavond, waarbij de mentor, de ouders én de leerling om tafel zitten en de leerling zelf vertelt hoe het gaat). En zo weet ik dat deze leerling wel eens wat motivatie mist (tja, wie niet), op verschillende basisscholen heeft gezeten (iemand achterin de zaal haalde opgelucht adem: dit ben ik niet!), een klik heeft met docent X maar diens vak wel lastig vindt en de schoolfeesten leuk vindt. En nog een paar zaken die ik heb weggelaten omdat ze te persoonlijk zijn.

Deze leerlinge wilde waarschijnlijk niet de 13-in-een-dozijn Powerpointpresentatie geven, maar iets flitsenders. Dan kom je al gauw uit bij Prezi, waarmee je een heel dynamisch verhaal kunt maken. Alleen is het wel zo dat al je presentaties openbaar zijn als je de gratis versie gebruikt. Oeps. En oh ja, de match tussen docent X en het lastige vak kon ik maken doordat op de site van de school een lijst van alle docenten staat.

Dat ook andere mensen (vaak onbedoeld) informatie over jou prijsgeven, kon ik aantonen met Instagram. Ook daar zocht ik de namen op. Eén daarvan kwam drie keer voor. Welk account was van de leerling op mijn lijst? Ik doorzocht de lijsten met volgers en trof bij het tweede account een naam aan die ook op mijn namenlijst stond. Bingo! Vervolgens ging ik eens beter naar de volgers van dat account kijken. Daar stond een bedrijfsnaam tussen, die ook de achternaam van het meisje bevatte (fictief voorbeeld: Ballonkoning Jansen). Je mag dan gerust concluderen dat dit de vader of moeder van de leerlinge is. In de bio van dat bedrijfsaccount stonden ook de straat- en plaatsnaam genoemd. Maar geen huisnummer. Het was het soort bedrijf waarvan je kunt vermoeden dat het aan huis gevestigd is. Als ik dat bedrijf kon vinden, dan wist ik waar dit meisje woonde.

Met Google Streetview kun je virtueel door een straat wandelen. En de huizen bekijken. Toen ik voor de tweede keer door de bewuste straat liep en goed om me heen keek, had ik beet: bij een huis zag ik iets dat een duidelijke verwijzing naar het bedrijf was (in het fictieve voorbeeld zou er een ballonboog bij de voordeur hebben gestaan). Ik zei tegen de zaal: “Als de letters in je postcode AL zijn, dan gaat dit over jou”. Het bleef ijzig stil.

Nou en, denk je misschien. Maar bedenk: ik ben een van de good guys. Er loopt genoeg gespuis rond dat maar wat graag willen weten waar zo’n meisje woont. Met mijn kleine vingeroefening heb ik laten zien dat de oplossing vaak uit meerdere puzzelstukjes bestaat, die je op verschillende plekken kunt vinden. Ik heb mijn gehoor ook voorgehouden dat ik op dit gebied slechts een amateur ben, en met dit filmpje liet ik zien hoe anderen, die dit een beetje professioneel aanpakken, nog veel meer over je te weten kunnen komen.

De namenlijst heb ik uiteraard weggegooid. Wat blijft is de herinnering aan een bijzondere ochtend waarin ik een aantal jonge mensen hopelijk aan het denken heb gezet.

En in de grote boze buitenwereld …

vrijdag 26 januari 2024

Uitlekgewicht

Afbeelding via Unsplash

Het is toch van de zotte dat je je als burger zorgen moet maken over je privacy. Vroeger, toen Roger Moore nog James Bond speelde, hoefde je alleen rekening te houden met externe interesse in jouw doen en laten als je een bijzonder bedrijf of een regering was. Maar tegenwoordig? Alles heeft tegenwoordig een privacybeleid. En dat betekent dat jouw privacy overal in het geding is. Anders was dat beleid namelijk niet nodig.

Zo, de toon is gezet, en wel voor de Europese Dag van de Privacy, 28 januari. Die is dus kennelijk óók nodig. Getuige ook deze mijmering van Omri Elisha, hoogleraar antropologie in New York:

We memorized phone numbers.
We memorized driving directions.
No one knew what we looked like.
No one could reach us.
We were gods.

In die tijd speelde je als kind buiten met je vriendjes, waar je op goed geluk had aangebeld of die je anders buiten wel ergens vond. Als jongetje droeg je rubberen laarzen en speelde je bij voorkeur bij de plaatselijke modderpoel. Je had hooguit een horloge en een tijd wanneer je van je moeder thuis moest zijn (en hopelijk was er dan tijd ingecalculeerd om je schoon aan tafel te krijgen). Ja, wij waren die goden, alleen beseften we het niet.

Als ouder kijk ik daar anders naar. Het is best wel prettig dat je je kinderen onder de digitale knop hebt zitten – tenminste, als ze op je reageren. Ben je ongerust omdat ze nog niet thuis zijn, of wil je vragen om even een vergeten boodschap mee te brengen? Een appje doet meestal wonderen. Gaan ze ergens heen? Dan kunnen ze appen dat ze goed zijn aangekomen, of ze delen hun live locatie zodat je in noodgevallen weet waar ze uithangen. Andersom werkt het ook: is er hulp nodig, dan zijn papa en mama gemakkelijk bereikbaar. De prijs voor deze geruststellende technologie is privacy. Maar omdat de kinderen van deze eeuw niet beter weten, missen ze die niet.

Tegenwoordig koop je bijna geen apparaat met een stekker meer waar geen privacybeleid op van toepassing is. Ga je daar niet mee akkoord, dan kun je het niet gebruiken. Geen hond die het leest, iedereen gaat blindelings akkoord. Al was het maar omdat het altijd van die lange, taaie verhalen zijn. Je zou haast willen dat er gewoon stond: alle gegevens, die dit product over u en uw omgeving verzamelt, kunnen naar eigen goeddunken worden gebruikt door de fabrikant en al zijn zakenpartners. Ik ken één geval waarin men zo openhartig is. Als je naar de VS reist en uit een bevriend land komt, dan hoef je geen visum te hebben, maar kun je volstaan met een online aan te vragen ESTA (Electronic System for Travel Authorization). Als je dat proces ingaat, dan krijg je een niet mis te verstane security notification, die als volgt begint:

You are about to access a Department of Homeland Security computer system. This computer system and data therein are property of the U.S. Government and provided for official U.S. Government information and use. There is no expectation of privacy when you use this computer system. The use of a password or any other security measure does not establish an expectation of privacy.

Zo simpel is het: als je dit systeem gebruikt, dan hoef je geen privacy te verwachten. Zelfs beveiligingsmaatregelen, die de schijn van privacy zouden kunnen wekken, zijn er niet voor jouw privacy. Het doet mij onwillekeurig denken aan de begroeting van de Borg in Star Trek (zie deze Security (b)log). Hoe anders gaat dat gelukkig bij onze eigen overheid, waar men over het algemeen zijn stinkende best doet om onze privacy wél te waarborgen.

Laatst wilde ik een product retourneren. De webshop zou mij een DHL-verzendlabel sturen. Ik ontving een mailtje van DHL met daarin niet alleen mijn verzendlabel, maar ook die van nog een paar andere klanten. De webshop zelf had die labels niet ontvangen. Klein leed, maar het geeft wel aan hoe gemakkelijk persoonsgegevens kunnen uitlekken.

Op een pot groente staat het uitlekgewicht vermeld – hoeveel gram groente zit erin, zonder het vocht? Misschien moeten websites ook zo’n vermelding gaan plaatsen: gezien ons beveiligingsniveau loopt u 5/25/50/75/100% kans dat uw gegevens uitlekken.

En in de grote boze buitenwereld …

vrijdag 3 november 2023

Verraden door je telefoon

Afbeelding via Pixabay

Afgelopen dinsdag was ik in het auditorium van het Van der Valk-hotel in Venlo. Ja, dat was even slikken; zo’n collegezaal is een tikkeltje intimiderend, maar na vier presentaties aan groepen collega’s over de risico’s van je online bestaan zat hij me als gegoten.

Een belangrijk onderdeel van die risico’s heeft te maken met je privacy. Want terwijl jij lekker gratis allerlei apps zit te gebruiken, doen de meeste apps daarnaast ook nog iets voor zichzelf: ze verzamelen data over jou. En die informatie verkopen ze door aan advertentiebedrijven, die deze informatie weer gebruiken om profielen te maken. Daar hangt niet per se meteen jouw naam aan vast: mobiele toestellen werken met een advertentie-ID, die gekoppeld is aan je toestel. Is je privacy daardoor goed beschermd? Mwah.

Zoals wel vaker in de informatiebeveiliging draait het hierbij om wie je bent, of soms ook wat je bent. Neem bijvoorbeeld phishing. Dat kan op twee manieren: de crimineel gebruikt een sleepnet en ziet dan wel wat hij vangt, of hij gebruikt een speer om precies dat ene visje te verschalken dat hij wil hebben. Bijvoorbeeld omdat hij weet dat die persoon bij het geld van het bedrijf kan en daardoor een mooi doelwit is om een mailtje ‘van de directeur’ te ontvangen, waarin staat dat hij onmiddellijk een mooi bedrag naar een bepaalde bankrekening moet overmaken. Deze vorm van phishing heet spearphishing; je begrijpt nu waarom.

Terug naar de reclamewereld. Er worden dus profielen gemaakt voor reclamedoeleinden, maar wie zegt dat die profielen alleen voor dat doel kunnen worden gebruikt? Stel, je beschikt over zo’n verzameling profielen. Je zou dan een kaart kunnen maken waarop je alle toestellen in een bepaald gebied ziet. Je weet niet van wie ze zijn, je ziet alleen de advertentie-ID’s. Vervolgens zou je een van die ID’s eruit kunnen lichten en de vraag als het ware omdraaien: waar is dit toestel overal geweest? Dat levert misschien een beeld op van plaatsen waar het toestel vaak is. En dat biedt dan weer de mogelijkheid om te achterhalen waar iemand werkt én waar hij woont.

Voor de meesten van ons is dat geen bedreiging – daar zijn we niet interessant genoeg voor. Maar je zult maar een crimineel zijn en dus de politie achter je aan hebben. Door het gebruik van informatie, die eigenlijk is bedoeld voor het plaatsen van advertenties, kunnen ze misschien dicht bij je in de buurt komen. Helaas werkt het ook de andere kant op: je zult maar opsporingsambtenaar zijn en met het soort criminelen te maken hebben dat óók over dergelijke informatie kan beschikken. Weliswaar heb je daar ook gespecialiseerde software voor nodig. Nette bedrijven, die zoiets zouden kunnen maken, zouden een dergelijk product waarschijnlijk alleen leveren aan opsporingsdiensten. Helaas wordt de georganiseerde criminaliteit ook steeds slimmer en bovendien hebben ze geld zat om iets dergelijks te laten bouwen. Dat kan een serieuze dreiging zijn. In het kader van personeelszorg heeft de FIOD dan ook gevraagd om een blog over dit onderwerp. Maar natuurlijk kan het ook voor andere collega’s en voor mensen daarbuiten relevant zijn.

Je kunt hier vrij gemakkelijk iets aan doen. De advertentie-ID van je toestel kan namelijk worden uitgezet. Daardoor word je onzichtbaar op de kaart, en komt je toestel niet in beeld als iemand de vraag mocht stellen: welke toestellen zijn rond acht uur ‘s ochtends en vijf uur ‘s middags rond dit kantoorpand aanwezig? Advertentiebedrijven als Google en Meta zullen je erop wijzen dat je dan ‘minder relevante’ reclame te zien krijgt. So what! Die reclame voor kinderwagens schuif ik dan wel net zo gemakkelijk terzijde als reclame voor hardloopschoenen. En oh ja, als je tijdens je werk ook je privételefoon op zak hebt, dan wil je de advertentie-ID ook op dat toestel om zeep helpen. Hier staat compact beschreven hoe je dat doet in iOS/IpadOS en in Android. En in dit filmpje legt John Oliver (de Brits-Amerikaanse Arjen Lubach) nog eens uit hoe het verhandelen van jouw gegevens in z’n werk gaat. Het hele filmpje is interessant; spoel door naar 10:10 als je alleen het stuk over telefoonlocatie wilt zien.

Bovenstaande tips zijn natuurlijk alleen bedoeld voor mensen aan de goede kant van de wet. Voor criminelen is het juist aan te raden om de tips niet op te volgen, want dat zou allerlei nare consequenties kunnen hebben.

En in de grote boze buitenwereld …

vrijdag 31 maart 2023

Grote getallen

Afbeelding via Pixabay

Ik ben dol op cijfers. Mijn horloge toont mijn hartslag en hoe hard ik ren, de fietscomputer weet waar en hoe hard ik ga en het weerstation toont niet alleen de binnen- en buitentemperatuur, maar ook luchtdruk, neerslaghoeveelheid, luchtvochtigheid en windkracht. In Excel-sheets houd ik mijn sportieve en financiële prestaties bij. Ter geruststelling: ik laat mij niet regeren door al deze cijfers (behalve de financiën dan); de cijfers zijn er voor mij – niet andersom.

Soms krijg je cijfers voorgeschoteld waar je van schrikt. Zo heb ik sinds een poosje een tracker blocker op mijn telefoon draaien. Als een willekeurige app of website een poging doet om mijn gegevens te verzamelen, dan blokkeert deze app dat. Terwijl mijn telefoon hier ligt en ik er niets mee doe, zie ik de teller van het aantal geblokkeerde trackingpogingen in de laatste zeven dagen oplopen. Het zijn er op dit moment 63.849 en ze zijn afkomstig van 31 apps. Snap je wat ik bedoel met schrikken? Inmiddels zijn het er trouwens al 63.855. Terwijl ik dus niks doe hè.

Wat me nog meer verontrust, is het lijstje van apps dat me probeert te tracken. De Ziggo GO-app is daarbij een van de drukste apps die iets van mij willen weten. Hij heeft tot nu toe 1.409 pogingen gedaan – en dat is alleen al voor vandaag (het is net negen uur ’s ochtends geweest). Het punt is alleen: ik gebruik die app vrijwel nooit, en zeker in de laatste week heb ik hem niet gebruikt. Als ik doorklik, dan zie ik dat al die pogingen in de Ziggo-app afkomstig zijn van Adobe. Je weet wel, dat bedrijf van pdf-bestanden en Photoshop. Maar daarnaast zijn ze ook actief op het vlak van mobile app analytics. Zelf leggen ze als volgt uit wat ze doen: “Adobe Analytics levert uitvoerige analytics voor mobiel, web en apps, plus ongekende visualisatie- en rapportagemogelijkheden, zodat productteams snel en eenvoudig voor optimale interesse op mobiele apparaten kunnen zorgen. Of het nu gaat om het verbeteren van de retentie of het verhogen van de conversie, wij bieden de voorspellende inzichten die je helpen om maximaal rendement op je mobiele investeringen te halen.”

Ziggo maakt dus gebruik van de diensten van Adobe om z’n klanten te tracken. Maar wat houdt dat tracken dan allemaal in? Ik zie een lijst van twintig items die ze graag zouden willen zien. Bijvoorbeeld mijn e-mailadres, postcode, GPS-coördinaten, allerlei informatie over mijn telefoon en zelfs de oriëntatie van de telefoon (staand of liggend). Nog zo’n app die ik amper gebruik is Reddit, en die app heeft, via de diensten van Branch Metrics, vandaag al 431 pogingen op z’n naam. En mijn agenda-app DigiCal, die ik wél vaak gebruik, heeft “slechts” 243 pogingen gedaan, maar maakt daarbij wel gebruik van de diensten van twee bedrijven: Google en Facebook. Ik heb zelf geen Facebook-account, maar Facebook heeft wel een account óver mij. Ze willen maar liefst 31 items tracken, waaronder het geluidsvolume, mijn geslacht, hoeveel geheugen mijn telefoon heeft, versnellingsmetergegevens (kennelijk willen ze zien of ik onderweg ben) en waar ik ben. Google wil daarnaast ook nog weten hoe vol m’n batterij is. Zo kan ik nog wel even doorgaan. Nu.nl gebruikt maar liefst vier trackers, die allemaal grotendeels dezelfde informatie vragen. PostNL bestookt me met drie trackers en die zijn net zo druk als Ziggo.

En waarom dit alles? Adobe verklapte het al: via advertenties is veel geld te verdienen, en hoe gerichter de advertentie, hoe groter de respons. Je moet mij niet bestoken met advertenties voor luiers, maar voor gadgets. En om te weten wat ik leuk vind, heb je een zo uitgebreid mogelijk profiel van mij nodig.

Op mijn telefoon worden al deze trackingpogingen geblokkeerd door een functie in mijn browser, de DuckDuckGo Private Browser. DuckDuckGo is al bekend als privacyvriendelijke zoekmachine, maar ze hebben dus ook op zowel Android als iOS een eigen browser. De bescherming tegen app-trackers verkeert nog in de testfase. Overigens heeft de browser zelf ook nog wel een paar nukken en dat maakt hem op dit moment minder geschikt voor bijna-digibeten (echte digibeten hebben geen smartphone). Er zijn talrijke andere blockers beschikbaar. Zoals bij alle apps het geval is, moet je uitkijken dat je geen Trojaans paard binnenhaalt: een app die belooft om je privacy te beschermen en vervolgens zelf het grootste lek vormt wil je niet hebben. Ik kijk daarvoor altijd even naar het aantal downloads en de recensies.

Onlangs blokkeerden trekkers onze snelwegen en vonden politiek en politie het kennelijk moeilijk om daar tegen op te treden. Op de digitale snelweg heb jij als gebruiker de mogelijkheid om trackers te blokkeren. Mijn weekteller staat inmiddels op 64.159 en het voelt goed om al deze pogingen geblokkeerd te hebben.