Gaat Europa WhatsApp en Signal onveiliger maken?

Eerst waarom dit voorstel zo gevoelig is. Chatdiensten zoals WhatsApp en Signal werken met een protocol dat ervoor zorgt dat berichten tussen gebruikers versleuteld zijn. Dat betekent dat als de communicatie ergens onderweg wordt onderschept het alleen voor verzender en ontvanger te openen is. Elke keer dat gebruikers communiceren, maken zij nieuwe sleutels aan die niemand anders heeft. De bedrijven die de versleuteling aanbieden, kunnen daarom ook niet bij de inhoud van de communicatie. Ze hebben geen supersleutel waarmee ze alle versleuteling ongedaan kunnen maken.

Versleuteling vormt daarmee een cruciale schakel in het dagelijkse internetverkeer. Het zorgt er bijvoorbeeld voor dat we veilig online betalingen kunnen doen, veilig kunnen mailen of DigiD kunnen gebruiken. De laatste jaren zijn veel bedrijven – onder andere Facebook, Signal, Google en Telegram – zogeheten end-to-end-encryptie gaan invoeren om te communiceren. Dit soort versleutelde communicatie is voor journalisten, activisten en dissidenten in sommige landen zelfs van levensbelang: zij vertrouwen erop dat overheden niet mee kunnen lezen.

Misbruik

Daarop vertrouwen kan alleen als de versleuteling goed werkt en 100 procent veilig is. Als WhatsApp op last van een overheid een achterdeur inbouwt of een supersleutel maakt, is de encryptie niets meer waard. Het is zwart-wit: of het protocol werkt, of het is verzwakt en daarmee voor iedereen kwetsbaar. Want als één iemand de versleuteling kan kraken, kan elke partij daar misbruik van maken. Als de Europese opsporingsdiensten de versleuteling ongedaan kunnen maken, kunnen Chinese inlichtingendiensten dat ook. Of criminelen. Of terroristen. Dat betekent dat klokkenluiders, journalisten, dissidenten en ook burgers die willen vertrouwen op 100 procent-veilige communicatie, dat niet meer kunnen doen. Dáárom reageren privacy-voorvechters en belangenclubs zoals Bits of Freedom fel als ergens wordt gepoogd versleuteling te verzwakken.

Niet alleen klokkenluiders en activisten vertrouwen op encryptie. Begin dit jaar adviseerde de Europese Commissie zijn personeel om over te stappen op Signal, juist vanwege de goede versleuteling van de chatdienst. Anders dan WhatsApp is Signal niet in handen van een groot Amerikaans techbedrijf (Facebook) maar een open-sourceproject, wat betekent dat de onderliggende code voor iedereen zichtbaar is. ‘We kunnen je berichten niet lezen en je telefoongesprekken niet zien’, staat op de website van Signal.

Ondanks dit grote belang van goede versleuteling is er óók al jarenlang onvrede over dit soort chatdiensten. Want het zou het werk van opsporingsdiensten bemoeilijken en terroristen zouden onder de radar blijven door er gebruik van te maken. Vandaar dat – vaak na een terroristische aanslag – er pleidooien komen om de versleuteling zwakker te maken, om een achterdeur in te laten bouwen of een masterkey aan opsporingsdiensten te geven. Minister Ferd Grapperhaus fantaseerde in 2019 nog over een achterdeur om bij versleutelde communicatie te komen, oud-AIVD-baas Rob Bertholee uitte al eens zijn onvrede over versleuteling en ook de Britse minister van Binnenlandse Zaken Amber Rudd wilde in 2017 kunnen meelezen met WhatsAppberichten.

Masterkey

En nu is er dus een nieuw Europees voorstel. In Oostenrijkse media wordt gemeld dat de Europese Raad een ‘masterkey’ wil om versleuteling ongedaan te maken. Dit voorstel zou zijn gedaan aan de regeringsleiders en binnenkort ter stemming voorliggen. Maar het document zelf is minder helder. Het benadrukt het belang van sterkte encryptie voor overheden en kritieke infrastructuur en schetst tegelijkertijd het dilemma voor opsporingsdiensten. Die hebben het wettelijke mandaat om bepaalde data te bekijken, maar kunnen daar vanwege versleuteling niet altijd bij. De Raad wil dan ook naar een ‘betere balans’. Maar het woord ‘masterkey’ staat niet in de tekst, noch het expliciet kraken of verbieden van versleuteling. ‘De Europese Raad wil end-to-end-versleuteling van chatdiensten zoals WhatsApp verbieden’, twitterde Kees Verhoeven. Maar dat staat niet in het document.

Stefan Soesanto, beveiligingsonderzoeker bij het Zwitserse centrum voor veiligheidsstudies CSS die de discussie al langer volgt, weerspreekt dan ook dat het gaat om een ‘verbod op versleuteling’. De Europese Raad wil volgens hem in gesprek met de technologiesector en met universiteiten om te komen tot een balans tussen sterke versleuteling/privacy en wettige toegang tot communicatie. Niets nieuws dus.