Stel je beschikt over vertrouwelijke informatie over een mogelijke maatschappelijke misstand en je denkt dat openbaarmaking ervan een maatschappelijk belang dient. Dan wil je deze informatie mogelijk op de één of andere manier delen. Daarbij vind je het van groot belang dat je zelf anoniem en buiten schot blijft. Vroeger verstuurde je dan je documenten zonder vingerafdrukken of andere sporen per post naar een journalist of dropte het in een parkeergarage of in een bos. Tegenwoordig hoeft dat niet meer. Het kan ook digitaal. Bijvoorbeeld – als het heel belangrijk is – via Wikileaks. Maar het kan ook eenvoudiger, gerichter en uiteindelijk denk ik veiliger. In deze blogpost ‘klokkenluiden 2.0’ leg ik uit hoe ik denk dat dat kan.

Vooraf

  1. Zorg ervoor dat je documenten geen sporen bevatten die naar jou kunnen leiden. Wil je bijvoorbeeld een Word-bestand sturen? Zorg er dan voor dat jij het bestand zelf niet vanaf een te traceren computer / Word-account als één van de laatsten hebt aangepast of zelfs geopend. Word slaat namelijk ‘auteurs-gegevens’ / revisie-gegevens in een bestand op. Wil je je document als PDF versturen? Zorg er dan in elk geval voor dat het exporteren naar PDF niet naar jou terug te leiden is. Bijvoorbeeld door een word-document bij een internetcafé te ‘printen’ / exporteren als PDF. En let in het bijzonder op geo-data. Steeds meer plaatjes, filmpjes bevatten data over waar ze zijn aangemaakt. EXIF-data van plaatjes controleer je bijvoorbeeld hier. Zeker zijn? Druk documenten af, scan ze in bij bijvoorbeeld een copyshop en verstuur ze als PDF. De ontvanger moet er dan zelf maar even een OCR-etje overheen halen – bijvoorbeeld door ze te importeren in Evernote. Tekstbestanden met een .TXT-extensie bevatten geen ‘meta-data’ voor zover ik weet en zijn daarmee niet terug te brengen tot de auteur of bewerker.
  2. Zorg ervoor dat je tijdens het lekken niet te traceren bent. Installeer een TOR-browser en/of lek in bijvoorbeeld een internetcafé. Het is een open deur, maar als je voor de internet-café oplossing gaat: zorg ervoor dat je door niemand wordt gezien, ook niet via – aluminium hoedjes alert – de webcam. Een TOR-browser download je hier en zorgt ervoor dat je het internet gebruikt vanaf een ander IP-adres dan die van jezelf. Vaak vanaf een klein eilandje ergens in de stille oceaan. Overigens via bijvoorbeeld deze site kun je je IP-adres controleren. Je kunt de TOR-browser op je eigen computer installeren of hier de USB-stick-versie. Die versie zet je op een USB-stick, steek je in een USB-poort en hop je kunt spoorloos browsen op bijna elke computer die je tegenkomt. Browsen met een TOR-browser gaat overigens wat trager dan je gewend bent.

 

Documenten versturen en contact

  1. The easiest way: gebruik bijvoorbeeld Wetransfer om een bestand naar iemand te versturen. Bezoek de Wetransfer-site via je TOR-browser en/of in een internetcafé. Voer het e-mailadres van de ontvanger, in het veld ‘E-mailadres voor ontvanger(s)’. En voer bij ‘Jouw e-mail’ een ander dan jouw e-mailadres in, bijvoorbeeld een niet-bestaand adres.
  2. Wil je naast of in plaats van ‘plat’ verzenden ook contact met de ontvanger? Maak dan vanuit je TOR-browser en/of in een internetcafé een (gratis) e-mailadres aan om te lekken, bijvoorbeeld bij Yahoo (Gmail doet soms moeilijk met TOR-browsers) en gebruik dit mail-adres om te communiceren. Let er op dat je dit mail adres altijd vanuit je TOR-browser of een internetcafé gebruikt. E-mail providers slaan IP-gegevens op en zijn in geval van maatschappelijk belang op te vragen door politie en andere veiligheidsdiensten.

 

Nota bene

  • Als je na het lezen van deze blogpost denkt dat veilig lekken een eitje is dan heb je het mis. Als je ergens een steekje laat vallen, dan laat je al snel een spoor achter en als het om echt belangrijke, erg vertrouwelijke informatie gaat zal dat waarschijnlijk naar de lekker leiden.
  • Dat deze manier van lekken 100% waterdicht is, kan ook ik niet garanderen. Kortom: dit is een disclaimer. Ik heb me flink ingelezen en er met een flink aantal mensen over gesproken, maar wie weet mis ik ergens iets of beschikken opsporingsgenieën over mij niet bekende technieken.
  • Durf je het niet aan op deze 2.0 manier, omdat je bijvoorbeeld het downloaden of zelf installeren van een TOR-browser al lastig vindt? Doe het dan old-school via het bos of de parkeergarage. Of bel gewoon een betrouwbare journalist.
  • Meer informatie over klokkenluiden vind je bijvoorbeeld hier.

Vragen? Opmerkingen? Aanvullingen? Tips? Graag. Bij voorkeur als comment bij deze blogpost. Via mail of Twitter kan natuurlijk ook.

Voor deze blogpost heb ik samengewerkt met een aantal mensen. Met naam dank ik: Ana van Es, Folkert de Jong en Bram Willemse.

Reacties

Jeroen Wollaars (NOS) reageerde uitgebreid in de comments. Maar daar gaat technisch wat mis. Vandaar zijn reactie ook hier:

Ik vind dat je je iets meer mag verdiepen in bronbescherming en informatiebeveiliging voordat je mensen oproept op deze manier te gaan lekken. Voor huis-tuin-en-keuken-documenten zal er misschien niet zoveel aan de hand zijn, maar God verhoede dat iemand op deze manier met echt gevoelige informatie de boer op gaat. Zeker als je iets in de aanbieding hebt waarin politie- of inlichtingendiensten geïnteresseerd zijn.

Allereerst een feitelijke onjuistheid: Tor (geen hoofdletters) zorgt er niet voor dat je een IP-adres krijgt van een eilandje in een stille oceaan. De meeste Tor exit nodes staan in Europa: https://hackertarget.com/tor-exit-node-visualization/

Bovendien is dat andere IP-adres niet de kracht van Tor. Want via een proxyserver krijg je ook een ander IP-adres. Het grote voordeel is dat je verkeer via verschillende servers versleuteld wordt verstuurd zodat de bron niet meer te achterhalen is. Dus van A->B->C->D->internet en dat via niet-loggende versleutelde verbindingen maakt dat A niet meer te vinden is. Voor zover wij nu weten.

Ik zou bronnen met gevoelige informatie nooit oproepen maar in een internetcafe te gaan zitten. Juist internetcafe’s (zo ze nog bestaan) zijn plekken vol camera’s, andere mensen, je hebt geen idee of er keyloggers zijn geïnstalleerd en de uitbater zal geconfronteerd met politie/justitie vermoedelijk eerder kiezen voor de continuïteit van zijn bedrijf dan de anonimiteit van een willekeurige bezoeker. Laat staan dat hij het op prijs zal stellen dat je programmatuur draait van een zelf meegenomen USB-stick.

Verder ga je er aan voorbij – en dat vind ik het grootste probleem – dat met alle methoden die je noemt de data nooit veilig alleen de ontvanger zal bereiken. Als je er van uit gaat dat de gelekte data extreem gevoelig is, dan is het een buitengewoon slecht idee om die voor wie-weet-hoe-lang op de servers van WeTransfer te bewaren. Of op de servers van een e-mailprovider. In het theoretische geval dat je als lekker anoniem blijft, ligt de data misschien wel veel verder en veel rauwer op straat. Anders dan je je had voorgesteld toen je een journalist benaderde die je vertrouwde.

Daarnaast is met al deze methoden de ontvanger van de data niet anoniem. Ook dat kan een groot probleem zijn: als derden kunnen weten dat ik net gevoelige informatie heb ontvangen, kan dat bijvoorbeeld een reden zijn om mij in de gaten te gaan houden. Of m’n laptop te stelen. Of erger. Die dingen gebeuren.

Je schrijft het zelf al: veilig lekken is geen eitje.

Tor gebruiken is een beginnetje. Met de jongens van Wikileaks wisselden we destijds informatie uit via beveiligde chatkanalen, via het systeem van publieke en private sleutels, werden bestanden versleuteld via Truecrypt, en alleen persoonlijk overhandigd. PGP gebruiken is bijvoorbeeld een aardig begin.

Ik schrijf dit niet om potentiële klokkenluiders te ontmoedigen. Wie een maatschappelijke misstand aan de kaak wil stellen is altijd welkom zich bij mij te melden. Ik spreek graag af in parkeergarages en het oude vertrouwde postadres van de NOS is ook een prima manier. Voor niet al te heftige gevallen mail je me. Maar wordt het wat gevoeliger, dan ben je het aan jezelf en aan de informatie verplicht je iets meer te verdiepen in veiligheid. Dan hoor ik liever van je via Jabber of via een PGP mail.

e-mail: jeroen.wollaars@nos.nl
jabber: wol@jabber.ccc.de
PGP public key: https://jeroenwollaars.nl/wol.asc

Petra Kramer (meedogenloos.nl) probeerde te reageren in een comment maar ze heeft haar browser dusdanig dichtgetimmerd dat ze niet kan reageren. Al zal ook dit wellicht iets met onze comment-plugin te maken hebben. Ze mailde haar reactie en die plaatsen wij nu door.

Mooi dat je klokkenluiders in de dop wilt helpen om anoniem communiceren onder de knie te krijgen. Het kan alleen veel simpeler en veiliger. Het vraagt alleen een andere mindset dan there’s an app for that.

OS > app. Helaas is de trend de andere kant op. Voor de veiligheid van onnozele gebruikers beginnen pc’s steeds meer op tablets te lijken. Wat Microsoft User Account Control noemt is in feite een oorlog tegen gebruikersvrijheid en piraterij gebracht als het is in uw belang want veiliger. Dat Apple voorop loopt in het bieden van “gebruikersgemak” door vrijwel alles dicht te timmeren behoeft geen nadere uitleg…

https://boingboing.net/2011/12/27/the-coming-war-on-general-purp.html

https://fora.tv/2012/07/31/Cory_Doctorow_Coming_War_Against_Your_Computer_Freedom

Gelukkig hebben we de open source community nog. Maak kennis met Tails. The Amnesic Incognito Live System, een Linuxvariant met geheugenverlies. Je draait het van een stickje en als je een sessie beëindigt dan wist tails alle sporen op je PC zodat er niks gelogd wordt en dus ook niet gerechercheerd kan worden.

https://tails.boum.org/about/index.en.html

Kaatje Kabelkrant (@kaatje36) via twitter: Zou nog wel even willen toevoegen dat bestanden als pdf een dns leak geven in TOR.

Jeroen Wollaars (NOS) stelt via twitter voor die reactie om te bouwen tot: maar Tor is onachtzaam gebruikt niet altijd zo veilig als je denkt, bijvoorbeeld met andere applicaties dan web, dus verdiep je in hoe je het gebruikt.

Jan Dijkgraaf (@jndkrgf / jandijkgraaf.nl) via twitter-DM: Inhoudelijk zeer nuttig. Ik vind de presentatie ruk. Het is too much text. Doe er dan een stroomschemaatje bij. Ik zou graag twee versies zien. Eentje voor profs, eentje voor dummy’s. En het beste: een how to-filmpje. Dus eigenlijk: tekst + stroomschema + filmpje. Maar ik ga ‘m wel een keer gebruiken 🙂 En: Inhoudelijk heb ik er geen verstand van 🙂

Martijn Middel (@mrmiddel) Met veel interesse j(ulli)e blogpost gelezen. Aan de tips met betrekking tot de verwerking en verzending van de informatie, vooral icm de toevoegingen van Jeroen, heb ik niet veel toe te voegen. Ik denk dat de ouderwetse methodes nog altijd het beste zijn, het in concact komen met een journalist je veel kan brengen zolang je dit zorgvuldig doet.
De blogpost helpt je met het voorkomen van het herleiden van de verzender aan de hand van de documenten en de documenteigenschappen en ip-kwesties, maar veel belangrijker is: wie weet dat jij over deze documenten beschikt? Wie kunnen er nog meer over deze bestanden/documenten beschikken? Is het voor mensen vanuit de bron te herleiden wie de documenten heeft en dus heeft gelekt? Dit begint al met het opvragen van de informatie in bijvoorbeeld kennisssystemen van bedrijven. Doe je dit vanaf je eigen pc, met je eigen account? Dan is 1 + 1 voor de eigenaar van de informatie al snel 2.
Belangrijk is dus dat het verkrijgen van de documenten op een anonieme of niet-herleidbare manier moet plaatsvinden, anders hang je alsnog. Hoe je dit doet is afhankelijk van de situatie, maar voorop staat dat ook bij het ontvangen van de documenten je eigen pc, je werk-pc en je persoonlijke inloggegevens nooit moeten worden gebruikt. Als de informatie uit een bedrijf afkomstig is: wees zo paranoia als het maar kan. Gebruik niet je eigen smartcard voor het gebruik van het kopieëerapparaat, zorg dat je de informatie niet download/verstuurt/opslaat op het moment dat er weinig mensen aanwezig zijn en je traceerbaar bent aan de hand van bijvoorbeeld de tijdregistratie van je toegangspas.
Kortom: de grootste uitdaging zit hem in veel gevallen in het anoniem verkrijgen van de informatie. Zorg eerst maar dat je daar geen steken laat vallen, dan praten we daarna verder.

Jeroen Wollaars (NOS) wijst me op een Duits privacy handboek. Gebruik van een Tor-browser wordt daarin beschreven als ‘digitale Aikido’ niveau 3 van 4.

Enhanced by Zemanta