De staat van de wereldwijde surveillancestaat

TL;DR: Een overzicht van (toekomstige) surveillancetechnieken, databases en militaire cyber-commando’s van (overheids)organisaties en de gevaren hiervan.

Een van de eerste personen die voor de gevaren van het digitale tijdperk waarschuwde was George Orwell in het boek 1984. Dit boek werd in 1949 geschreven als satirische reactie op de jaren ’40, maar ook als een waarschuwing voor de toekomst. Ironisch genoeg was echter vlak voor het publiceren van zijn boek in het allerdiepste geheim het eerste fundament van de toekomstige wereldwijde surveillancestaat vastgelegd. Op basis van het UKUSA-akkoord (1948) [1] werd begin jaren ’60 het eerste wereldwijde surveillancesysteem ECHELON in het geheim gebouwd. Sindsdien zijn er talloze klokkenluiders, schrijvers en regisseurs geweest die de wereld nogmaals gewaarschuwd hebben voor het gevaar van de toekomstige surveillancestaat. [2] [3] [4] [5][6]

Dit kritische geluid werd en wordt echter steeds weggewuifd door onze politici. Wie herinnert zich nou niet de verkiezingsspot van Balkenende uit 2002, waarin hij de klassieke drogreden “Wie niets fout doet, heeft toch niets te verbergen?” gebruikte? [7]

Laten we eens kijken hoe ver de huidige surveillancestaat gevorderd is.

Grootschalige surveillance – Internationaal

• 1945 SHAMROCK (NSA)
  • Verzamelde alle in- en uitgaande telegrammen van de Verenigde Staten. [8]
• 1952 Unit 8200
  • Militaire veiligheidsdienst van Israël (Central Collection Unit of the Israëli Army’s Intelligence Corps). [9] [10] [11] [12] [13]
• +- 1960 ECHELON
  • Onderdeel van het UKUSA-akkoord. Dit systeem wordt gebruikt door de militaire inlichtingendiensten van de VS (NSA) (‘first party’), Groot-Brittannië (GCHQ) , Australië (DSD), Canada (CSE) en Nieuw-Zeeland (GCSB) (‘second party partners’). [14] [15] [16] [17] [271]
    • Intelsats: Het monitoren van internationale telecommunicatiesatellieten.
    • non-Intelsats: Het monitoren van regionale communicatiesatellieten.
    • Het monitoren van landkabels, onderzeese kabels en radiogolven.
• +- 1970 Ivy Bells (NSA / CIA / US Navy)
  • Aftappen van onderzeese kabels. [18] [19] [20] [21]
• +- 1990 ThinThread (NSA)
  • Aftappen van o.a. telefoon- en e-mailverkeer. [22]
• 1997 EU-FBI systeem wordt gebruikt door opsporings- en wetshandhavingsdiensten waaronder de FBI, EUROPOL, douane, immigratie en internationale veiligheid. [23]
• 1997 Omnivore (FBI)
  • Het monitoren van al het mailverkeer van ISP’s. [24]
• 1999 DragonWare (FBI)
  • Uitbreiding van Omnivore waarbij e-mails, bezochte websites en gedownloade bestanden konden worden gereconstrueerd. [25]
• 2002 President’s Surveillance Program (PSP) / Terrorist Surveillance Program (TSP) / Total Information Awareness (TIA) (NSA)
  • Het opslaan van alle (communicatie)gegevens van alle personen om mogelijk terrorisme op te kunnen sporen. [26] [27] [28] [29]
    • 2002 Terrorist Finance Tracking Program (TFTP)
      • Dankzij dit programma heeft de VS volledige toegang tot de SWIFT database. [30]
    • 2003 Upstream program
      • Aftappen van (onderzeese) (glasvezel)kabels. [31]
      • FAIRVIEW
        • Overkoepelend programma voor het intercontinentaal aftappen van o.a. glasvezelkabels. [32] [33] [34]
        • BLARNEY
          • Vergelijkbaar met PRISM maar dan voor landen buiten de VS. Sinds 1999 zijn afspraken gemaakt over het aftappen en/of delen van data van meer dan 80 belangrijke wereldwijde bedrijven en duizenden kleinere bedrijven in o.a. de telecom-, productie-, netwerkinfrastructuur-, software- en beveiligingssector. De NSA tapt vaak het communicatieverkeer af in de meeste ‘3rd party partners’. Er zijn ongeveer 30 ’third party partners’, waaronder Duitsland, Frankrijk , Brazilië, China, Irak en Saudi-Arabië. [35] [36] [37] [38] [39] [40] [41] [42] [43] [44]
        • OAKSTAR Nog geen informatie bekend.
        • STORMBREW Nog geen informatie bekend.
        • Codenaam onbekend
          • Het hacken van belangrijke netwerk backbones, waaronder internet routers, zodat communicatie tussen honderdduizenden computers afgetapt kan worden. [45] [46]
  • 2005 Turbulence (NSA)
    • Monitoring van het internet op terroristische activiteiten. Offensieve acties zoals het injecteren van malware vallen ook onder dit project. [47] [48]
  • 2007 PRISM (NSA)
    • Automatisch verzamelen van data van grote Amerikaanse internetbedrijven, waaronder Google, Microsoft en Facebook. [49] [50] [51] [52] [278]
• 2007 DROPMIRE (NSA)
  • Geheim surveillanceprogramma gericht op ambassades en diplomaten. [53] [54] [55]
• 2009 INDECT (EU)
  • Intelligent informatiesysteem voor het in realtime analyseren, observeren, zoeken en detecteren van (toekomstige) veiligheidsrisico’s in stedelijke omgevingen. [56] [57] [58]
• 2011 TEMPORA (GCHQ)
  • Tapt o.a. alle (glasvezel) kabels van en naar het Verenigd Koninkrijk af. GCHQ tapt nu al meer dan 200 onderzeese glasvezelkabels af. [59] [60] [61] [62] [63] [64]

Grootschalige surveillance – Nationaal

• Nationale SIGINT Organisatie (NSO) Nederlandse tak van ECHELON. [65] [66] [67] [68][69]
  • Symbolon Sigint-Cyber eenheid van de AIVD en de MIVD.
  • Argo II Programmastructuur. [70]
• Cameratoezicht [274]
  • CCTV
    • Op dit moment zijn de locaties van meer dan 5000 camera’s in de openbare ruimte bekend. [71] [72]
  • @MIGO-BORAS (automatisch Mobiel Informatie Gestuurd Optreden – Better Operational Result and Advanced Security)
    • Automatisch grenscontrolesysteem dat o.a. gebruikt maakt van automatische kentekenplaatherkenning. [73] [74] [75]
      • Automatic Numberplate Recognition (ANPR) Automatische kentekenplaatherkenning. [76] [77] [78] [79]

Databases – Internationaal

• Wereldwijd
  • INTERPOL Ballistics Information Network (IBIN)
    • INTERPOL verzamelt gegevens over o.a. criminelen en terrorismeverdachten en deelt deze gegevens met 190 verschillende landen. [80]
      • DNA database
        • Bevat meer dan 100.000 DNA-profielen.
      • Automated Fingerprint Identification System (AFIS)
        • Bevat meer dan 150.000 vingerafdrukken.
      • International Child Sexual Exploitation (ICSE)
        • Bevat seksuele beelden van kinderen en de gegevens van daders en slachtoffers. [81]
      • Terrorism Watch List / Fusion Task Force
        • Bevat gegevens van meer dan 10.000 personen die ‘verdacht worden van het verbonden zijn aan terroristische activiteiten’. [82] [83]
  • SWIFT Registreert o.a. alle internationale overschrijvingen. [84] [85] [86] [87]
• Verenigde Staten
  • BOUNDLESS INFORMANT (NSA) Dit dataminingssysteem bevat vermoedelijk o.a. de data die is verzameld door het PSP/TSP/TIA programma. [88] [89]
    • PINWALE – E-mail-database [90]
    • MAINWAY – Telefoondatabase [91]
  • Terrorist Identities Datamart Environment (TIDE) (Terrorist Identities Group (TID), NCTC)
    • Bevat meer dan 500.000 gegevens van personen die ‘verdacht zijn van het gelinkt zijn aan terrorisme’. [92] [93]
      • Terrorist Screening Database (TSDB) / Terrorism Watch List (FBI)
        • Bevat gegevens van ongeveer 1 miljoen personen die ‘redelijkerwijs verdacht worden van het verbonden zijn aan terrorisme’. [94] [95]
          • No-fly list
            • Bevat meer dan 20.000 personen die niet de grens over mogen vliegen. [96]
          • Terrorism Watch List (INTERPOL) Zie boven. [97]
  • Advanced Passenger Information System (APIS)
    • Vliegtuigmaatschappijen moeten van elke persoon die de grens passeert zijn of haar persoonsgegevens in deze database zetten. [98]
• Europese Unie
  • EUROPOL Europese wetshandhavingsdienst die de informatie-uitwisseling verzorgt tussen de politiediensten van alle 27 lidstaten van de EU. [99]
    • Schengen Information System (SIS II)
      • Bevat meer dan 46 miljoen records van o.a. personen die worden gezocht, vermist en die geen toegang hebben tot het Schengen gebied en van verloren of gestolen objecten. [100]
    • Visa Information System (VIS)
      • Bevat (biometrische) gegevens van personen die het Schengen gebied betreden. [101]
    • Customs Information System (CIS)
      • Bevat informatie voor de douane, waaronder informatie over personen, goederen, bedrijven en transportmiddelen. [102]
    • Eurodac
      • Bevat vingerafdrukken van o.a. asielzoekers, (illegale) immigranten en mensen die onregelmatig de grens passeren. [103] [104] [105] [106] [107]

Databases – Nationaal [108] [109]

• Databases in het beheer van onze overheid.
  • Gemeentelijke Basis Administratie (GBA)
    • Aan het GBA zijn op dit moment 51 organisaties gekoppeld. De database bevat o.a. medische gegevens en politiegegevens. [110]
  • CIOT
    • Alle telecom- en internetbedrijven moeten elke 24 uur klantgegevens (o.a. namen, adressen, woonplaatsen, telefoonnummers, e-mailaccountadressen, IP-nummers en locatiegegevens) uploaden naar deze database. [111] [112] [113]
  • Basisvoorziening Handhaving (BVH)
    • BVH is een landelijke databank die wordt gebruik door de Nederlandse Politie. [114] [115]
  • Datamining voor rechtspersonen (Justis)
    • Bevat o.a. persoonsgegevens en (familie)relaties van rechtspersonen die vervolgens geanalyseerd worden op risico’s. [116] [117]
• Databases in het beheer van bedrijven of organisaties.
  • Het landelijke DBC-informatiesysteem (DIS)
    • Een Diagnose Behandel Combinatie (DBC) bevat medische gegevens, o.a. over de diagnose, behandeling, zorgtype en zorgvraag. [118] [119] [120]
  • Elektronisch Patiënten Dossier (EPD-LSP)
    • Bevat patiëntgegevens, waaronder het BSN (verplicht), diagnose, uitslagen, consultinformatie, buitenechtelijke relaties en medicatie. [121] [122] [123] [124] [125]
  • Centraal Krediet Informatiesysteem (CKI) (BKR-registratie)
    • Bevat van ongeveer 9 miljoen Nederlanders informatie over schulden, waaronder kredietcontracten, creditcards, leningen en debetfaciliteiten welke kunnen worden opgevraagd door meer dan 200 organisaties. [126] [127]
  • OV-chipkaart (Trans Link Systems)
    • Bevat van 12,7 miljoen OV-chipkaarten het kaartnummer en de tijden en locaties van het in- en uitchecken. [128] [129] [130] [131]
  • Elektronisch Kind Dossier (EKD)
    • Bevat informatie over de gezondheid en ontwikkeling van kinderen. [132] [133] [134]

Militaire cyber-commando’s

In 2007 hadden ongeveer 120 landen geheime cyber-security afdelingen die o.a. spioneren, saboteren en hacken in andere landen. [135] [136]

• Verenigde Staten
  • U.S. Cyber Command (USCYBERCOM) Een team van duizenden spionnen en meer dan 14.000 cyberwarriors. [137] [138]
  • In 2008 is het Cyber Command centrum, dat het commandocentrum was voor de oorlogen in Irak en Afghanistan, gehackt. [139] [140] [141] [272]
  • Wereldwijd zijn al meer dan 61.000 hackoperaties uitgevoerd, waaronder honderden computers in China en Hongkong, waaronder computers van het bedrijf Pacnet, beheerder van het grootste onderzeese glasvezelkabelnetwerk van Azië. [142] [143] [144]
• Israël Unit 8200
  • Gebruikte in 2007 geavanceerde technieken om vliegtuigen zonder stealth onzichtbaar te houden voor het Russische radarsysteem van Syrië. [145] [146]
  • Stuxnet, een computervirus dat o.a. geclassificeerd is als worm, trojan en rootkit, dat o.a. Iraanse kerncentrales saboteerde. [147] [148]
• China
  • Eenheid 61389 (Chinese Volksbevrijdingsleger)
    • Vanuit een gebouw in Sjanghai is van meer dan 100 internationale bedrijven data gestolen. [149] [150]
  • Operation Shady RAT
    • Vanaf 2006 zijn jarenlang 14 verschillende landen, waaronder de VS, Canada, Frankrijk, India en Zuid-Korea en ook de Verenigde Naties, het IOC en o.a. elektronica-, IT- en defensiebedrijven gehackt. [151] [152] [153] [154]
• Rusland Federal Security Service of the Russian Federation (FSB) [155]
  • In 2007 werd Estland het slachtoffer van de eerste grootschalige cyberaanvallen die gericht zijn op een specifiek land. [156]
  • Vlak voor de invasie van Zuid-Ossetië door Georgië in 2008 waren o.a. Georgische websites het slachtoffer van cyberaanvallen. [157]
• Iran Islamic Revolution Guards Corps (IRGC)
  • Volgens Iran zelf is het IRGC het vierde grootste cyberleger ter wereld. Dit leger bestaat uit ongeveer 2400 personen en heeft een budget van ongeveer 76 miljoen dollar. Het IRGC wordt daarnaast ook nog gesteund door verschillende hackersgroepen in Iran zelf. [158] [159] [160]
  • Het Nederlandse bedrijf Diginotar, dat digitale certificaten afgaf, was slachtoffer van een aanval waardoor meer dan 300.000 Iraniërs konden worden afgeluisterd. [161] [162] [163] [164]
• Groot-Brittannië Cyber-security (GCHQ)
  • In 2011 investeerde de Britse overheid 650 miljoen pond in cyber-security, waarvan 90% voor offensieve taken werd ingezet. [165]

Gerichte surveillance

• Hacken [166]
  • Backdoors [167] [168] [169]
  • Bugs
    • In vrijwel alle software zitten bugs die geëxploiteerd kunnen worden. Sommige bedrijven melden bugs bij geheime diensten. [170] [171] [172]
  • Het is mogelijk om zonder fysieke toegang apparaten met een microfoon te activeren. [173] [174] [175] [176] [177]
• TEMPEST / Emissions Security (EMSEC)
  • TEMPEST staat voor “Telecommunications Electronics Material Protected from Emanating Spurious Transmissions”. Geheime diensten bezitten technieken om van (korte) afstand signalen van ongewijzigde apparatuur op te vangen. [178] [179]
• Aftappen van politici en diplomaten.
  • Nederland gaf tijdens de Koude Oorlog al ‘openlijk’ toe dat er afgeluisterd werd. [180]
  • Al voor 1990 voerde UK-USA operaties uit om communicatie van buitenlandse ambassades te onderscheppen. [181]
  • In 2009 werden politici in Londen tijdens de G20-top afgeluisterd. [182]
  • Onze minister van Buitenlandse Zaken Ben Bot werd in de jaren ’90 en ’00 regelmatig afgeluisterd. [183]
  • De NSA heeft in een gebouw van de NAVO, vlak naast het EU-gebouw Justis Lipsus in Brussel, een ‘Europees hoofdkantoor’ dat o.a. dient als afluistercentrum. [184]
  • De NSA tapt af bij buitenlandse ambassades en gebouwen van de Verenigde Naties. [185]
  • De president van de Europese Raad, Herman van Rompuy, werd afgeluisterd. [186] [187]
• Opvragen van informatie
  • De AIVD kan bijna realtime (‘binnen 5 minuten’) informatie opvragen bij de NSA. [188] [189]
  • Ongeveer 850.000 Amerikanen hebben toegang tot top secret informatie uit de databases van GCHQ. [190]
  • Amerikaanse bedrijven kunnen door het US-EU Safe Harbor akkoord privégegevens van Europese burgers opvragen. [191]
• Koppelen van databases
  • Onze overheid is bezig met het koppelen van databases. [192] [193] [194]
  • Europese landen, waaronder Nederland, delen databases met persoonlijke communicatiegegevens naar de Verenigde Staten. [195]

Toekomst

• Clean IT
  • Nieuw project van de EU met o.a. een massasurveillanceprogramma. [196] [197]
• eID
  • Opvolger van DigiD waarbij een pas en authentificatieapparaat, vergelijkbaar als die van een bank, gebruikt wordt. [198] [199] [200]
• eCall
  • Systeem dat standaard in auto’s gebouwd wordt om automatisch o.a. locatiegegevens en snelheid door te geven aan hulpdiensten. [201] [202]
• Hackbevoegdheden
  • Naast inlichtingendiensten wil onze minister ook aan de politie hackbevoegdheden geven. [203] [204] [205] [206] [207]
• Gedwongen decryptie / Decriptiebevel
  • Als iemand weigert mee te werken aan een decryptiebevel, kan hij een celstraf van maximaal drie jaar krijgen. [208]
• Google Glass
  • Deze bril zou het ultieme surveilleringsmiddel kunnen worden van de politie d.m.v. automatische gezichtsherkenningssoftware. [209] [210]
    • Automatische gezichtsherkenning. [211] [212] [213] [214] [215]

Wat zijn de gevaren van massasurveillance?

• Data-overload
  • Voor één verdacht persoon kunnen miljoenen andere mensen in het netwerk van de verdachte afgetapt worden. [216]
  • Door de hoeveelheid data is het voorkomen van terrorisme vergelijkbaar met het zoeken naar een speld in een hooiberg, ofwel, vrijwel onmogelijk. [217] [275]
  • Meer data betekent meer correlaties die als verdacht kunnen worden beschouwd wat leidt tot meer mensen die (onterecht) worden verdacht van terrorisme of criminaliteit. [218]
  • Onschuldige mensen kunnen als verdacht persoon in databases terechtkomen. [219] [220] [221]
• (Machts)misbruik [222]
  • Meer dan 3.6 miljoen personen hebben toegang tot top secret informatie. [223]
  • De NSA kan bedrijven in het geheim onder druk zetten om medewerking te verlenen aan surveillanceprogramma’s. [224]
  • De Britse politie heeft de identiteit van overleden kinderen gebruikt. [225]
• Function creep
  • Systemen die voor een bepaald doel worden gebouwd kunnen daarna vaak uitgebreid worden om andere, meer controversiële, doelen te bereiken. [226] [227]
• Alles, voor eeuwig
  • Door de huidige ontwikkelingen in de techniek kan binnenkort alle door de mens gegenereerde communicatie oneindig lang worden bewaard. [228] [229] [230] [231] [232] [276]
  • Alles. Ook de president van de VS? Ja, ook Obama kan worden afgeluisterd. [233]
• Framing [234] [235]
  • Alles wat je zegt kan in de toekomst tegen je gebruikt worden. [236]
  • Vrijwel iedereen kan worden neergezet als (wets)overtreder. [237] [238]
  • Telefoontaps kunnen vervalst worden. [239]
• De definitie van terrorisme
  • Personen die verdacht worden van het verbonden zijn met terroristische activiteiten. [240]
    • Terroristische activiteiten zijn (volgens de FBI) onder andere: [241]
      • Het schrijven op papier.
      • Geen telefoon bij je hebben. [242]
      • Binnenkort: Het niet hebben van een Facebook account.
      • Tegen surveillancemethoden zijn.
      • Een Casio F91W-1 horloge dragen. [243]

• Wie surveilleert de surveillanten?
  • Minister Hillen: “We opereren nu op de randen van de wet, en gaan er soms overheen”. [244]
  • Veiligheidsdiensten overtreden soms de wet. [245] [246] [247] [248] [249]
• Ondermijning van de democratische rechtsstaat. [250] [279]
  • Volgens ex-president Carter hebben de VS geen functionerende democratie meer. [251]
  • Geheimen in een democratie zijn staatsgevaarlijk. [252]
  • Ex-president Richard Nixon is de enige president geweest van de VS die vrijwillig is afgetreden (Watergate). Nixon zei over de Watergate affaire: “But the problem I confronted was this: Unless a President can protect the privacy of the advice he gets, he cannot get the advice he needs.”. [253]
• Deanonimiseren
  • Uit onderzoek is gebleken dat op basis van enkel geboortedatum en viercijferig postcode ongeveer 2/3 van de personen kan worden geïdentificeerd. Indien de volledige postcode en het geslacht bekend is, is meer dan 99% van de personen identificeerbaar. [254]
  • Met behulp van publiek beschikbare foto’s van Facebook kon een onderzoeker de namen van meer dan 30% van geobserveerde studenten op een Amerikaanse universiteit achterhalen. [255]
  • Geanonimiseerde gegevens (geboortedatum, viercijferige postcode en geslacht) in het EPD kunnen in 80% van de gevallen gedeanonimiseerd worden. [256]
• Datalekken
  • Regelmatig komen databases met privégegevens in handen van derden. [257] [258] [259]
• Klokkenluiders
  • De NSA beschouwt niet terroristen of hackers, maar klokkenluiders die informatie over geheime (militaire) massasurveillancesystemen openbaren als het grootste gevaar voor de Verenigde staten. [260] [277]
  • Van de 11 klokkenluiders die zijn vervolgd onder de Espionage Act (1917) zijn er 8 vervolgd tijdens het presidentschap van Obama. [261] [262] [273]

Wat kunnen wij doen?

• Encryptie
  • Volgens klokkenluider Snowden werken goed geïmplementeerde, sterke encryptiemethoden goed. [263] [264]
• Alternatieve software [265] [266] [267]
• Mechanische apparatuur
  • Indien je echt helemaal zeker wilt zijn niet afgeluisterd te worden kun je altijd nog mechanische apparatuur zonder hardware gebruiken. [268]

DISCLAIMER: Het gebruik van encryptie kan worden gezien als mogelijke terroristische activiteit! [269]

Zoals u nu waarschijnlijk wel doorheeft, is het inmiddels onmogelijk om te ontkomen aan de observatiedrang van onze overheid. Vrijwel al uw (digitale) sporen worden op een of andere manier gemonitord en opgeslagen in databases. Door de technologische ontwikkelingen in dataopslag kan deze informatie in de toekomst voor altijd bewaard blijven.

We eindigen met enkele wijze woorden van Rop Gonggrijp:

“Is dit nou echt wat we willen? En kunnen we nou echt niet verzinnen dat er een toekomst is waarin je daar heel veel spijt van krijgt? We nemen een soort hypotheek op de toekomst. We gaan er vanuit dat de overheid van nu tot in de eeuwigheid volstrekt betrouwbaar is, dat de belangen van de overheid en de bevolking elkaar volledig overlappen en dat we in noodgevallen altijd van de regering afkunnen.” [270]

Dit overzicht is samengesteld met de grootst mogelijke zorgvuldigheid aan de hand van openbare bronnen. De genoemde (overheids)organisaties en bedrijven zijn niet onderworpen aan hoor en wederhoor. Derhalve kunnen aan de volledigheid en juistheid van deze informatie geen rechten worden ontleend. Deze blog is vrij te verspreiden met bronvermelding (CC-BY-SA). Copying is not theft.