Tweede Kamer-leden willen gebruik van beveiligingslekken door politie aan banden leggen

D66-Kamerlid Verhoeven, SP-Kamerlid Gesthuizen en GroenLinks-Kamerlid Van Tongeren willen de bevoegdheden van de politie inperken om kwetsbaarheden in software te gebruiken om geautomatiseerde werken binnen te dringen. Hiervoor hebben de Tweede Kamerleden een amendement (docx) voor het Wetsvoorstel Computercriminaliteit III ingediend.

De Tweede Kamerleden stellen dat de politie voldoende mogelijkheden heeft om zonder gebruik van kwetsbaarheden geautomatiseerde werken van verdachten binnen te dringen. “Dit amendement beperkt de bevoegdheid voor de politie om geautomatiseerde werken binnen te dringen, er mag namelijk geen gebruik worden gemaakt van kwetsbaarheden in software”, schrijven Verhoeven, Gesthuizen en Van Tongeren in een toelichting in het amendement.

Phishing, keyloggers en brute forcing

“Het binnendringen van geautomatiseerde werken zonder gebruik van kwetsbaarheden in software kan bijvoorbeeld door middel van (spear)phishing technieken, oftewel het sturen van een misleidende email of bericht waarmee een verdachte verleid kan worden om een wachtwoord of logingegevens prijs te geven of om een technisch hulpmiddel zoals een keylogger of andere software te installeren, mits zonder het gebruik van kwetsbaarheden, waarmee vervolgens inloggegevens buitgemaakt kunnen worden. Een andere techniek is social engineering, waarmee door middel van psychologische manipulatie het uitvoeren van handelingen of het openbaar maken van vertrouwelijke informatie, zoals een wachtwoord of inloggegevens, uitgelokt kan worden. Daarnaast zijn technieken mogelijk als brute forcing, dictionary attacks of shoulder surfing.”

De Tweede Kamerleden stellen dat de noodzaak om geautomatiseerde werken binnen te dringen via kwetsbaarheden in software onvoldoende is aangetoond. Daarnaast noemen Verhoeven, Gesthuizen en Van Tongeren deze bevoegdheid onwenselijk, aangezien kwetsbaarheden in onder andere telefoons, tablets en andere apparaten onnodig lang blijven bestaan. Dit vergroot het risico dat mensen slachtoffer worden van cybercrime.

‘Overheid krijgt belang bij onveilige apparaten’

“Hiermee zou de overheid een belang krijgen bij onveilige apparaten, zoals laptops, smartphones, wearables en computers en, gezien de brede definitie van ‘geautomatiseerde werken’, ook pacemakers, auto’s en medische apparatuur. Dit zorgt ervoor dat hackers die fouten in software vinden eerder geneigd zullen zijn om gevonden fouten te verkopen aan bedrijven als HackingTeam of Gamma International dan ze te melden aan de maker van de software zodat ze gedicht kunnen worden. Dit kan bijvoorbeeld gaan om een fout in het besturingssysteem van smartphones”, aldus Verhoeven, Gesthuizen en Van Tongeren.