Wall Street Journal-wikileaks lekt aan alle kanten
Gepubliceerd: Vrijdag 6 mei 2011
Auteur: Uhro van der Pluijm
De Amerikaanse krant Wall Street Journal introduceert een eigen variant van Wikileaks. Die website blijkt zowel technisch als juridisch zo lek als een mandje.
De Amerikaanse zakenkrant Wall Street Journal (WSJ) heeft donderdag een website gelanceerd waar klokkenluiders geheime documenten kunnen uploaden. De krant heeft deze Wikileaks-concurrent SafeHouse genoemd.
De krant zegt te hopen dat klokkenluiders via deze website grote hoeveelheden gegevens uploaden die de krant kan gebruiken. Geheel in lijn met de naam zou dat volledig veilig en anoniem kunnen. Maar een paar uur na lancering bleek uit onderzoek van beveiligingsexperts dat de dienst helemaal niet veilig is, meldt Forbes.
SSL-encryptie verkeerd gebruikt
Onderzoeker Jacob Appelbaum, die ontwikkelt voor anonimiteitsproject Tor en meewerkte aan Wikileaks, merkt op dat de Wall Street Journal de SSL-encryptie op de site verkeerd inzet.
Als iemand naar de onbeveiligde versie van de site gaat krijgt hij wel de optie om voor de veilige versie te kiezen, maar dat is de verkeerde oplossing stelt Applebaum. De WSJ had beter gebruik kunnen maken van Strict Transport Security. Dat mechanisme zorgt ervoor dat er automatisch van de onveilige naar de veilige verbinding wordt geschakeld. Met behulp van tooltjes kan een kwaadwillende in de huidige situatie via een man-in-the-middle attack eenvoudig veinzen dat de gebruiker wel beveiligd is. Alle informatie die iemand op de site plaatst is dan gewoon te achterhalen. Met Strict Transport Security verdwijnt dit probleem.
Communicatie later te achterhalen
Appelbaum merkt ook op dat de SSL-server van SafeHouse de mogelijkheid biedt om encryptie te gebruiken die geen 'perfect forward secrecy' biedt. Die cryptografische term houdt in dat er alleen tijdelijke sleutels gebruikt worden die geen versleutelde communicatie uit het verleden kunnen decoderen.
Dat houdt volgens Appelbaum in dat mensen die de server van de WSJ stelen of op afstand toegang tot de server forceren ook communicatie uit het verleden kunnen achterhalen. Beide tekortkomingen in de beveiliging van de website kunnen een groot risico vormen voor klokkenluiders die staatsgeheime documenten aan de klokkenluiderssite doorspelen. Als er genoeg belang is dan zou een geheime dienst theoretisch deze stappen kunnen nemen om achter iemands identiteit te komen.
Toegeeflijk aan autoriteiten
Maar het hacken van de dienst is waarschijnlijk niet eens nodig. Er zijn ook juridische bezwaren. Rebecca Mackinnon, onderzoekspartner bij de New American Foundation, merkt op dat de algemene voorwaarden van SafeHouse klokkenluiders niet goed beschermt. De krant stelt in de algemene voorwaarden het recht te hebben om persoonsgegevens van de klokkenluiders over te dragen aan de autoriteiten als de bron niet uitdrukkelijk om anonimiteit vraagt.
En zelfs als iemand anonimiteit bedingt, wil SafeHouse de veiligheid van de klokkenluiders niet garanderen. De Wall Street Journal stelt dat alleen te kunnen doen als de bron zich aan 'alle geldende wetten' houdt. Als de autoriteiten informatie van de krant eisen, is het aan de krant om te beslissen of zij de gegevens ook doorspelen.
Slechts voorzorg
Op de pagina waar klokkenluiders documenten kunnen uploaden wordt wel beweerd dat iedereen die geen naam en contactinformatie opgeeft anoniem is. Vanwege de technische tekortkomingen van de site noemt Appelbaum dat een 'flagrante leugen'.
De Wall Street Jounal verweert zich door te stellen dat hun bronnen heilig zijn. De krant zegt ze te beschermen voor zover dat mogelijk is volgens de wet. De bepalingen in de algemene voorwaarden zijn slechts een indekking voor uitzonderlijke omstandigheden. Over de technische problemen wil de krant niets kwijt.
