|
|
Privacy - Technologie - Bluetooth - Draadloze apparatuur - Cijfers en tendensen
radiocommunicatie
staatsveiligheid
eerbiediging van het privé-leven
spionage
| 27/10/2021 | Verzending vraag (Einde van de antwoordtermijn: 25/11/2021) |
| 21/12/2021 | Antwoord |
Ook gesteld aan : schriftelijke vraag 7-1398
Uit een Noors onderzoek (https://www.hegnes.tech/2021/09/01/location-tracking-of-wifi-access-point-and-bluetooth-devices/) blijkt dat draadloze accessoires minder veilig zijn dan gedacht. Onder deze accessoires vallen afzonderlijke apparaten die kunnen worden aangesloten op smartphones of smartwatches. Het gaat onder meer over draadloze oortjes, draadloze koptelefoons, speakers of aanverwante zaken die meestal Bluetooth gebruiken om zo de apparaten te kunnen verbinden. Het is juist precies op dat vlak dat er voor veel apparaten een veiligheidslek bestaat.
Uit het onderzoek blijkt dat men de gebruikers ervan bijna continu kan blijven volgen. De onderzoeker kon uit een experiment in Oslo in 24 uur maar liefst 9 149 unieke apparaten met Bluetooth-zenders herkennen en traceren. Ten minste 129 draadloze koptelefoons konden zelfs over een langere periode van 24 uur getraceerd worden https://nrkbeta.no/2021/09/02/someone-could-be-tracking-you-through-your-headphones/).
De reden waarom sommige digitale apparaten blijvend kunnen worden getraceerd, is dat zij hun MAC-adres niet regelmatig (kunnen) veranderen. Dit adres maakt elk Bluetooth-apparaat uniek en wordt gebruikt zodat de verschillende toestellen met elkaar kunnen communiceren.
Voor mensen die zich in een kwetsbare situatie bevinden (journalisten, informanten, klokkenluiders,…) is dit veiligheidsprobleem extra gevaarlijk. Het volstaat niet om van telefoonnummer te veranderen om veilig te zijn.
De meeste smartphones verversen hun MAC-adres wél regelmatig. Deze omslag gebeurde na de Snowden-onthullingen. Hieruit bleek dat de NSA de bewegingen van individuele personen in kaart bracht door de MAC-adressen van hun smartphones te traceren. Veel moderne smartphones maken daarom regelmatig een nieuw adres aan om de privacy te garanderen.
Slechts enkele fabrikanten van draadloze accessoires voorzien vergelijkbare maatregelen voor hun producten. Nochtans is dit nodig omdat daardoor het veiligheidsrisico blijft bestaan: met een beetje speurwerk kan men al snel de apparaten koppelen aan personen.
Daarnaast is het ook mogelijk online Bluetooth-modules te kopen die berichtenstromen kunnen onderscheppen van Bluetooth-apparaten.
Men kijkt meestal naar de smartphones als gevaar voor onze privacy maar de randapparatuur is minstens even belangrijk.
Wat betreft transversaal karakter: de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota integrale veiligheid en het nationaal veiligheidsplan voor de periode 2016-2019, en werden besproken tijdens een interministeriële conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Het betreft aldus een transversale Gewestaangelegenheid waarbij de rol van de gewesten vooral ligt in het preventieve luik.
Graag had ik dan ook volgende vragen voorgelegd aan de geachte minister:
1) In hoeverre zijn de veiligheidsproblemen omtrent draadloze accessoires bekend bij onze diensten? Hebben de Staatsveiligheid/ADIV en de politie hier reeds richtlijnen over?
2) Hoe reëel acht u het dat men Bluetooth misbruikt om andere gebruikers af te luisteren of te traceren?
3) Zijn er in België reeds gevallen bekend van spionage of misbruik via dergelijke accessoires? Zo ja, hoeveel en in welke jaren was dit? Welke specifieke apparaten waren dit (merk, type etc.). Zijn er trends hieromtrent te bemerken? In welk domein? Waar zat het probleem? Hoe heeft men dit kunnen oplossen?
4) Zijn er volgens u unieke risico's die gerelateerd zijn aan Bluetooth?
5) Hoe kan de overheid ingrijpen op dit risico? Hoe kan men de gebruikers hieromtrent het best inlichten? Wat kan men zelf doen om dit risico te minimaliseren?
6) Worden bij metingen van de overheid naast telefoonverkeer en smartphone-verbruik ook andere parameters gebruikt, zoals Bluetooth-gebruik? Kijkt men ook naar andere elektronische apparaten (draadloze koptelefoons etc.)?
7) Zijn er reguleringen op til voor deze apparaten? Zo ja, wat houden deze in? Zo nee, waarom niet?
8) Hebben de bevoegde veiligheidsdiensten reeds een contrastrategie uitgewerkt tegen deze problematiek
1) Onze inlichtingendiensten weten inderdaad dat gebruikers van draadloze technologieën (bluetooth, wifi, etc.) elektromagnetische sporen achterlaten. Die elektromagnetische sporen creëren vectoren die – minstens in theorie – ongewenste activiteiten zoals tracking mogelijk kunnen maken. Men mag echter niet uit het oog verliezen dat die elektromagnetische zichtbaarheid inherent is aan de technologie. Twee apparaten die een draadloze communicatie willen opzetten, moeten elkaar kunnen vinden en daarvoor is een zekere mate van identificatie noodzakelijk.
Het is belangrijk erop te wijzen dat wanneer de auteur in de door collega Ongena geciteerde artikels spreekt over «interceptie» van bluetooth dataverkeer, dit niet betekent dat hij kon zien wat de inhoud van het bluetooth dataverkeer was. Hij kon de gebruikers dus niet afluisteren of meelezen met wat er gecommuniceerd werd. Hij had wel zicht op identificatiegegevens (van de apparaten, niet van de gebruikers) die nodig zijn om de communicatie op te zetten.
2) Bluetooth technologie heeft uiteraard beveiligingstechnieken ingebouwd – zoals toestemming voor pairing, end-to-end encryptie en frequency hopping. Maar ondoordacht gebruik van deze technologie kan wel degelijk veiligheidsproblemen met zich voortbrengen. Het risico waar de geciteerde artikels de aandacht op vestigen, namelijk het statische MAC adres, dat eigen is aan het apparaat en dat tracking door de tijd (zoals beschreven door de auteur van de artikels) mogelijk maakt, is echter uitdovend. Nieuwe apparaten en accessoires met bluetooth functionaliteit beschikken over de mogelijkheid om hun MAC adres te wijzigen zodat het veel moeilijker wordt om ze te tracken. In het verleden werden er nog bluetooth accessoires verkocht met statische MAC adressen om de compatibiliteit te garanderen met de intussen verouderde «bluetooth classic» standaard. Apparaten die die standaard volgen zijn niet in staat om de verbinding te behouden wanneer het MAC adres wijzigt en moet er dus telkens een nieuwe «pairing» gedaan worden.
Met de beschreven interceptietechniek is het mogelijk om identificatiegegevens van apparaten en accessoires met bluetooth-technologie op te vangen en op te slaan. Het linken van die gegevens aan de identiteit van de gebruikers is echter veel minder evident (tenzij de gebruiker zijn eigen naam verwerkt in de publieke naam van het apparaat).
Een ander nadeel als men bluetooth wil tracken, is het korte bereik. Accessoires hebben meestal slechts een bereik van enkele meters. Sommige andere apparaten, zoals laptops, hebben sterkere zenders en hebben een iets groter bereik. Dit relatief korte bereik maakt het moeilijk om bluetooth accessoires op een persistente wijze te tracken. Je moet daarvoor kort in de buurt blijven. In de geciteerde artikels zag de auteur een aantal MAC adressen op verschillende momenten terug in zijn data. Iets wat hij zag als een mogelijkheid voor tracking. Maar mocht hij een specifiek MAC adres willen tracken en dat adres zou na de tweede rit (war driving) niet meer voorkomen in zijn data; waar zou hij dan gaan zoeken?
Kortom: het gebruik van draadloze communicatietechnologieën laat sporen na in het elektromagnetisch spectrum, die mogelijkerwijs kunnen geëxploiteerd worden voor tracking of spionagedoeleinden. De exploitatie van bluetooth dataverkeer, als alleenstaande methode, is gezien de ingebouwde beveiliging, het korte bereik en de mogelijke mitigerende maatregelen (zie vraag 5) waarschijnlijk echter niet voldoende om een gerichte en persistente tracking of spionage te realiseren.
Als onderdeel van een bredere spionageactie waarin meerdere, elkaar ondersteunende, methoden worden ingezet, kan het wel een rol spelen.
3) In de onderzoeken van de Veiligheid van de Staat (VSSE) zijn er nog geen gevallen opgedoken waarbij er door middel van bluetooth accessoires gespioneerd werd.
4) Uw vraag is niet geheel duidelijk. Als u met unieke risico’s bedoelt dat ze eigen zijn aan Bluetooth en aan Bleutooth alleen, dan kan ik u antwoorden dat de VSSE niet op de hoogte is van unieke risico’s gerelateerd aan bluetooth. De VSSE raadt aan om dezelfde voorzichtigheid aan de dag te leggen als bij het gebruik van andere draadloze communicatietechnologieën.
5) Er zijn verschillende strategieën mogelijk om het risico te beperken dat bluetooth apparaten en accessoires misbruikt worden voor tracking en spionagedoeleinden. Ik som er hieronder enkele op. Let wel, iedereen bepaalt voor zichzelf hoever hij daar in wil gaan, rekening houdend met het risico dat je loopt en de eventuele gevolgen:
– Bluetooth accessoires dienen vaak het gebruikscomfort: draadloze hoofdtelefoon, draadloze muis en toetsenbord, enz. Men kan ervoor kiezen om die draadloze accessoires alleen te gebruiken wanneer het echt nodig is. Op die manier is er geen of minder bluetooth dataverkeer dat kan onderschept worden;
– bij apparaten zoals smartphones en laptops kan bluetooth (of WIFI of elk ander draadloos dataverkeer) uitgeschakeld worden wanneer het niet nodig is. Er is dan op die momenten geen bluetooth tracking mogelijk. Het is zeker niet mijn bedoeling om bluetooth in de ban te slaan, maar aangezien u er naar vraagt, denk ik wel dat we er doordacht mee moeten omgaan. Er zijn namelijk ook noodzakelijke toepassingen van zoals de coronalert-app;
– het is best om apps die je niet gebruikt van je smartphone en computer te verwijderen. Zelfs als bluetooth uitgeschakeld is, ontvangt het apparaat immers nog passief bluetooth verkeer. Apps met toegang tot die data, via je instellingen, kunnen dat dataverkeer gebruiken, bijvoorbeeld voor localisatie;
– stel je apparaten zodanig in dat ze niet «discoverable» zijn voor bluetooth. Andere apparaten en accessoires kunnen je toestel dan niet zien. Alleen als je je toestel wil «pairen» aan een ander toestel of accessoire, kan het even in «discoverable» modus gezet worden (en daarna weer niet meer). Indien mogelijk doe je dit best niet in een publieke ruimte waar waarschijnlijk veel andere apparaten met bluetooth aanwezig zijn (bijvoorbeeld, als je een nieuwe draadloze hoofdtelefoon koopt, doe je de pairing met je smartphone liefst niet in de winkel of buiten in een drukke winkelstraat maar wel bij je thuis);
– als de communicatie met een bepaald apparaat of accessoire niet meer nodig is, dan kan je de pairing ongedaan maken gemaakt, bijvoorbeeld als je een huurwagen terugbrengt waarmee je een bluetooth connectie hebt gemaakt om gebruik te maken van handsfree telefoneren achter het stuur;
– zoals bij alle ICT apparatuur is het van groot belang om security patches en updates zo vlug mogelijk te installeren. Het is onverantwoord om gekende kwetsbaarheden ongemoeid te laten;
– voorzichtigheidshalve is het aangeraden om geen gevoelige informatie te delen over een bluetooth verbinding;
– tenslotte moet je voorzichtig zijn met de bluetooth verbindingen (pairing) die je toestaat, zeker dus niet doen als je het apparaat of accessoire niet kan identificeren of als je de gebruiker ervan niet kan vertrouwen.
6) Van alle departementen onder mijn bevoegdheid is er geen dat metingen uitvoert van telefoonverkeer, bluetooth of WIFI.
7) Deze vraag valt onder de bevoegdheid van mijn collega, de staatssecretaris voor Digitalisering, ik nodig u dan ook uit deze vraag aan hem te richten.
8) De Veiligheid van de Staat behandelt deze problematiek in het bredere kader van (technische) spionage, waarbij een scala aan (technische) middelen kan worden ingezet door buitenlandse mogendheden om toegang te krijgen tot niet-publieke informatie, zoals lokalisatiegegevens. Aangezien het bijzonder moeilijk is om deze activiteiten te detecteren omwille van haar heimelijk karakter, wordt de focus gelegd op bewustmaking. De VSSE kaart deze problematiek al enkele jaren aan als deel van haar «counter-intelligence» briefings.
In het strategisch plan 2021-2024 werd opgenomen dat de VSSE nog meer wil inzetten op het creëren van een veiligheidscultuur in ons land. Hiervoor zal ze in haar bewustmakingscampagnes nog bijkomend blijven inzetten op het informeren van bestuurders en maatschappij over de spionagedreiging in al haar vormen, inclusief de risico’s verbonden aan het gebruik van bepaalde technologieën.