Mailprovider Snowden sluit onder druk regering VS (update)

Geheimzinnige sluiting

Normaal gesproken is het niet zo vreemd als een klein techbedrijf er de brui aan geeft. Maar het geval van Lavabit is bijzonder, omdat het vorige maand bekend kwam te staan als de e-mailprovider van Edward Snowden.

Vrijdag besluit eigenaar Ladar Levison dat hij “liever wegloopt van bijna tien jaar hard werk” dan dat hij “medeschuldig wordt aan misdaden tegen de Amerikaanse bevolking.”

Bezoekers van de Lavabit-websites, inclusief betalende klanten, zien nu de volgende boodschap:”

[related_article id=”158578″]

De details over de sluiting zijn schimmig, maar we weten een paar essentiële dingen.

Op vrijdag 12 juli hield Edward Snowden, een voormalig medewerker van NSA-onderaannemer Booz Allen, een persconferentie in Sheremetyevo Airport in Moskou om te klagen over een “ongewettigde campagne” van de Verenigde Staten tegen hemzelf.

De website GlobalPost.com schreef een liveblog over het event, waarin het volgende detail bekend werd:

“Het (de uitnodiging voor de persconferentie) was verstuurd van het e-mailadres ‘edsnowden@lavabit.com’, volgens Lokshina’s bericht, en was getekend Edward Snowden.”

Toen Edward Snowden bezig was met de diefstal van documenten uit de NSA, was hij in contact met verschillende journalisten over de hele wereld. Snowden stond er op dat hij zijn correspondentie encrypteerde met hulp van PGP-software.

De werkwijze van Lavabit

Hij gebruikte ook Lavabit, dat naar eigen zeggen ‘beveiliging via asymmetrische encryptie’ aanbiedt als belangrijkste onderdeel van zijn product.

In een whitepaper legt Lavabit uit dat het “een systeem heeft ontwikkeld dat zo veilig is dat het iedereen, waaronder wijzelf, verhindert e-mails te lezen van de mensen die het gebruiken.”

Die whitepaper is niet meer online beschikbaar, maar we vonden een kopie bij het Internet Archive.

Volgens de whitepaper gebeurt het volgende met boodschappen die zijn opgeslagen bij Lavabit:

“Inkomende e-mailberichten worden versleuteld voor ze op onze servers worden opgeslagen. Zodra een boodschap is geëncrypteerd, zal alleen degene met het acccountwachtwooord de boodschap kunnen ontsleutelen.

Net als bij elke veiligheidsmaatregel is encryptie alleen van kracht als het wordt gebruikt. Lavabit heeft een complex systeem ontwikkeld dat het hele encryptie- en decryptieproces transparant maakt voor de eindgebruiker.

…..

“We moeten opmerken dat dit encryptieproces alleen veilig is als je een sterk wachtwoord kiest. Als je wachtwoord zwak is, hoeft een aanvaller slechts een ‘brute force’-aanval uit te voeren om de encryptie te kraken.

We vinden het daarnaast nodig op te merken dat deze functie alleen boodschappen beschermt op de Lavabit-servers. Boodschappen kunnen altijd worden onderschept voor ze Lavabit bereiken of wanneer ze van de Lavabit-servers naar je pc gaan, als SSL niet wordt gebruikt.

Tenslotte kunnen boodschappen van je harde schijf af worden gehaald als geen encryptiesoftware is gebruikt om de bestanden te beschermen.

Deze kwetsbaarheden zijn bewust toegevoegd. Het was ons doel om de schending van privacy moeilijk te maken, door boodschappen te beschermen op hun meest kwetsbare punt. Dat betekent niet dat een toegewijde aanvaller, zoals de Amerikaanse regering, niet in staat zou zijn om de boodschap onderweg te onderscheppen of wanneer hij arriveert op je pc.”

De volgende passage is veelzeggend:

“We hopen dat de moeilijkheden die bij deze strategieën horen, betekenen dat ze alleen door regeringen worden gebruikt op terroristen en scammers en niet op eerlijke burgers. Als je er op mikt om je communicatie te verbergen van de regering, raden we je aan om systemen te onderzoeken die het hele e-mailproces beveiligen en niet slechts een bepaald gedeelte van het traject.”

Een omstreden vaarwel

Levison zegt in zijn afscheidsboodschap dat hij ‘zou willen dat hij op legale wijze zou kunnen mededelen wat de gebeurtenissen zijn geweest die tot zijn beslissing hebben geleid.’ Dat zou inhouden dat hij een gerechtelijk bevel heeft gekregen, inclusief een bepaling die hem verbiedt te spreken over de inhoud van dat bevel.

Zo’n gerechtelijk bevel zou afkomstig kunnen zijn van de NSA, maar het zou net zo goed afkomstig kunnen zijn van een rechtbank die eist dat hij meewerkt aan het onderscheppen van Snowdens correspondentie of andere leden die met hem onder een hoedje zouden hebben gespeeld.

Onderzoek naar Snowden
Snowden heeft vrijelijk toegegeven dat hij de wet heeft gebroken als daad van burgerlijke ongehoorzaamheid. Hij is in staat van beschuldiging gesteld voor drie vergrijpen: spionage, diefstal en conversie van overheidseigendommen.

De aanklacht is niet ingediend bij de FISA-rechtbank, de beruchte rechtbank die toestemming geeft voor afluisteroperaties. In plaats daarvan werd hij ingediend bij de Amerikaanse districtsrechtbank van Virginia.

Politiek correspondent Declan McCullagh van onze collega’s bij CNET speculeert op Google+ dat Lavabit een gerechtelijk bevel heeft gekregen om wachtwoorden en mogelijk encryptiesleutels te onderscheppen. Het bedrijf dit bevel zou dit zes weken lang hebben aangevochten, waarna het de zaak heeft verloren.

Vervolgens sloten ze de dienst liever dan medewerking te verlenen. Dat is een waarschijnlijk scenario, maar de betrokkenen houden voorlopig hun mond.

In zijn afscheidsboodschap heeft Levison een waarschuwing voor iedereen die zaken doet met Amerikaanse techbedrijven:

“Deze ervaring heeft me een heel belangrijke les geleerd: zonder actie van het (Amerikaanse) congres of een sterk juridisch precedent, zou ik iedereen met klem afraden om zijn privégegevens toe te vertrouwen aan een bedrijf dat fysieke banden heeft met de Verenigde Staten.”

Update:
Korte tijd nadat Lavabit op zwart gaat, sluit de Amerikaanse concurrent Silent Circle uit eigen beweging zijn geëncrypteerde e-maildienst.

Volgens de CEO, Michael Janke, wil hij zo voorkomen dat de Amerikaanse regering versleutelde communicatie in handen krijgt van zijn klanten, waartoe staatshoofden, mensenrechtenactivisten en journalisten zouden behoren.

Tegen TechCrunch zegt hij onder meer: "We wilden proactief zijn, omdat we wisten dat de Amerikaanse regering achter ons aan zou komen simpelweg vanwege het grote aantal mensen dat ons gebruikt, afgezien van de "mensen van zwaar kaliber die een belangrijk doelwit zijn.""

Silent Circle houdt niet helemaal op te bestaan: het heeft ook diensten voor beveiligd sms"en en bellen in zijn portfolio, die het ongemoeid laat. Volgens Janke zijn die diensten volledig versleuteld en kan het niet bij de vertrouwelijke correspondentie die wordt uitgewisseld.