Een beetje anoniem

De privacy op internet is doorgaans slecht gewaarborgd maar volledige anonimiteit is niet wenselijk. De oplossing: een glijdende schaal met toenemende anonimiteit.

Marie-José Klaver

'Big Brother werd verslagen in 2000', kopte de Amerikaanse nieuwssite News.com eind december 2000. Privacydeskundigen maakten op uitnodiging van de online nieuwsdienst de balans op. Tot de belangrijkste privacykwesties van het afgelopen jaar rekenden ze onder meer digitale surveillance op de werkplek, het FBI-afluistersysteem Carnivore en het opduiken van e-mails en websurfgedrag in rechtszaken.

Op internet worden persoonlijke gegevens niet beschermd. Websitehouders, werknemers, systeembeheerders, criminele computerkrakers en spionerende overheden kunnen zien wie welke website bezoekt, wie met wie e-mailt, wat ze elkaar vertellen, wat internetgebruikers kopen en nog veel meer. De Canadese informaticus Ian Goldberg promoveerde eind december 2000 aan de universiteit van Berkeley op een onderzoek naar een technisch systeem om internet anoniemer te maken.

Persoonlijke privacy is momenteel aan het verdwijnen door internet, zegt Goldberg in de inleiding van zijn proefschrift 'A Pseudonymous Communications Infrastructure for the Internet'. "We zien nu al dat verschillende soorten databases verzamelingen persoonsgegevens verkopen of weggeven, en deze praktijk zal alleen maar gebruikelijker worden als de vraag naar dit soort informatie toeneemt. Maar we zijn niet reddeloos verloren. Terwijl het internet het gevaar met zich meebrengt dat privacy afneemt, kan het ook een leidende rol spelen in een grotere bescherming van privacy in gebieden waar voorheen helemaal geen privacy mogelijk was."

nymity slider

Volledige anonimiteit biedt Goldbergs systeem, dat hij Pseudonymous Communication Infrastructure noemt, niet. In plaats daarvan berust het op pseudonimiteit. In dat geval staat de gebruiker onder een of meer namen (pseudoniemen of nyms) bekend. Internetgebruikers en webwinkeliers die met een bepaald pseudoniem communiceren kunnen erop vertrouwen dat het telkens om dezelfde persoon gaat. Bij anonimiteit is er geen enkel verband tussen de gebruiker en een bepaalde pseudonieme identiteit.Om te bepalen welke mate van anonimiteit het meest praktisch is voor internetgebruikers heeft Goldberg, oprichter van Berkeley's Internet Security, Applications, Authentication and Cryptography-groep en een bekend beveiligingsdeskundige, een 'nymity slider' ontwikkeld. Helemaal bovenaan deze schaal staat het 'verinym', oftewel iemands naam in een paspoort, een creditcard-nummer of het adres waarop iemand bij de gemeente staat ingeschreven. Helemaal onderaan bevindt zich 'unlinkable' anonimiteit. Daarmee bedoelt Goldberg bijvoorbeeld contant betalen bij de groenteboer. Na de transactie kan het geld waarmee de klant betaalt nooit aan zijn naam worden gekoppeld. Een internetvoorbeeld van 'unlinkable' anonimiteit is e-mailen via een anonieme remailer, software die alle identificerende informatie verwijdert. 'Unlinkable' anonimiteit is niet handig in het maatschappelijk verkeer. Je weet nooit of twee boodschappen die Willem je stuurt via een anonieme remailer ook echt allebei van Willem zijn. Ook Truus kan zich Willem noemen.

Tussen verinymity en 'unlinkable' anonimiteit bevinden zich 'linkable' anonimiteit en 'persistente' pseudonimiteit. 'Linkable' anonimiteit is bijvoorbeeld een prepaid telefoonkaart of een bonuskaart van Albert Heijn. K PN weet niet wie de eigenaar is van een bepaalde kaart, maar kan wel nagaan hoeveel telefoontjes ermee gepleegd zijn en welke nummers ermee gebeld zijn.

'Persistente' pseudonimiteit is de beste vorm om de privacy van internetgebruikers te waarborgen, volgens Goldberg. Er is binnen dit systeem maar één persoon die het pseudoniem Willem kan gebruiken. Alle boodschappen van Willem zijn afkomstig van dezelfde persoon, wiens echte identiteit geheim blijft.

Willem kan een zekere reputatie opbouwen omdat hij altijd verstandige dingen zegt in discussiegroepen of een bijzondere homepage heeft met nuttige informatie. Alles wat Willem doet op internet is met elkaar te verbinden. Dat is niet erg, want niemand weet immers wie Willem is en het staat de eigenaar van de nym 'Willem' bovendien vrij andere online identiteiten aan te nemen die volledig los staan van Willem. Jaap kan als 'Willem' deelnemen aan discussies over wiskunde en kernfysica, als 'Kees' een website voor aidspatiënten beheren en als 'Galactus' science fiction boeken recenseren. In de pseudonieme infrastructuur van Goldberg weet niemand dat Jaap 'Willem', 'Kees' en 'Galactus' is, waardoor het aanleggen van profielen over personen en het koppelen van databases een stuk moeilijker wordt. Als Jaap over vijf jaar een nieuwe baan zoekt, kan zijn toekomstige werkgever niet in digitale archieven zoeken naar berichten van Jaap over dodelijke ziekten of zien welke hobby's of opvattingen Jaap heeft.

Misbruik

Een ander voordeel van pseudonimiteit boven volledige anonimiteit is dat misbruik te stoppen is. Als Willem kinderpornoplaatjes verspreidt in nieuwsgroepen kan dit pseudoniem een internetverbod krijgen van de beheerder van de infrastructuur. Er zijn meer methodes om misbruik te voorkomen. Beheerders van servers in de pseudonieme infrastructuur kunnen zelf bepalen welke vormen van internetverkeer toegestaan zijn. Zo kan anoniem chatverkeer (Internet Relay Chat) bijvoorbeeld worden toegestaan, maar het ontvangen van bestanden via de optie DCC SEND niet, om te voorkomen dat gebruikers illegaal gekopieerde software of kinderpornofoto's uitwisselen. Wetsovertreders die gebruik maken van Goldbergs Pseudonymous Communication Infrastructure kunnen niet bestraft worden. Het systeem is zo opgezet dat ook de beheerder van het netwerk niet weet met wie hij te maken heeft. Gebruikers hoeven niet hun echte naam op te geven om een pseudoniem te verkrijgen. De grootste uitdaging was volgens Goldberg de ontwikkeling van een technologie die real time interactieve communicatie en transacties onzichtbaar maakt voor derden. Als Jaap en Anneke elkaar e-mails sturen, moet niet alleen de inhoud van hun berichten onleesbaar zijn voor onbevoegden. Ook het feit dat ze contact hebben met elkaar, waar ze zich bevinden en dat het om Jaap en Anneke gaat, moet onzichtbaar zijn. De huidige internettechnologie, Internet Protocol geheten, verbergt deze gegevens niet. Goldbergs infrastructuur anonimiseert alle soorten internetverkeer (e-mail, surfen, online publiceren, nieuwsgroepen, financiële transacties, chatten, video, audio etc.) zonder dat er vertraging optreedt.

Technisch gezien is Goldbergs systeem een extra laag bovenop het Internet Protocol. Al het internetverkeer bestaat uit pakketjes met gegevens die door een IP-adres worden geïdentificeerd. Deze identificatie wordt in Goldbergs infrastructuur ongedaan gemaakt door versleuteling. De software van Goldberg bestaat uit een client en een server. De client, die wordt gebruikt door de individuele internetgebruiker, ontdoet alle e-mails, surfsessies, chats etc. van identificerende informatie. De server, die wordt geïnstalleerd door netwerkbeheerders zoals internetaanbieders en universiteiten, sturen de pakketjes met internetverkeer van de gebruikers via verschillende anonieme internet proxyservers.

Goldbergs theorie is gedeeltelijk in de praktijk gebracht door het Canadese bedrijf Zero-Knowledge Systems, waar de wetenschapper als chief technology officer werkt. Zero-Knowledge Systems bracht eind 1999 het computerprogramma Freedom op de markt waarmee internetgebruikers pseudoniemen kunnen creëren en hun digitale sporen kunnen uitwissen. Voor 50 dollar per jaar kunnen internetgebruikers vijf pseudoniemen aanmaken.

kritiek

Bekende privacydeskundigen en cryptografen als de Amerikaanse Lucky Green en de Duitse Oliver Berthold van de universiteit van Dresden hebben veel kritiek op Freedom omdat de software slechts een deel van de privacy van internetgebruikers beschermt. Geheime diensten en andere organisaties die beschikken over de mogelijkheid grote delen van het internetverkeer af te tappen en te analyseren met krachtige computers en intelligente software kunnen redelijk veel van Freedom-gebruikers te weten komen. Te zien is bijvoorbeeld welke client op een bepaald tijdstip welke server heeft benaderd. In het model van Goldberg is dit onmogelijk omdat alle datapakketten op een kunstmatige manier even groot worden gemaakt waardoor geen identificatie van clients kan plaatsvinden. Ook wordt het echte dataverkeer, dat door gebruikers wordt veroorzaakt, vermengd met 'dummy traffic' om afluisteraars in de war te brengen. Volgens oprichter Austin Hill van Zero-Knowledge Systems, waar investeerders 37 miljoen dollar in hebben gestoken, leidde een volledige implementatie van Goldbergs ideeën aanvankelijk tot een te traag en te duur netwerk. In de toekomst zullen Goldbergs ideeën wel volledig in Freedom verwerkt worden, aldus Hill.

Ian Goldberg: 'A Pseudonymous Communications Infrastructure for the Internet', Computer Science Division, University of California at Berkeley www.isaac.cs.berkeley.edu/~iang/thesis.html

( a d v e r t e n t i e s )