Cryptoleaks: Operatie Rubicon en de PX-1000

Tot deze week was voor de buitenwereld onbekend dat de Amerikaanse en Duitse geheime diensten tussen 1970 en 1994 op grote schaal meeluisterden met versleutelde communicatie van overheden. In een periode waarin het internet nog niet bestond en de mobiele telefoon nog moest worden uitgevonden, vertrouwden staten erop dat één bedrijf de communicatie tussen hun ambassades, spionnen en soldaten geheim kon houden: het Zwitserse bedrijf Crypto AG. In die periode de absolute marktleider op gebied van crypto-machines, waarmee versleuteld kon worden gecommuniceerd. 

Wat diezelfde overheden niet wisten is dat achter de schermen ‘de inlichtingencoup van de eeuw’ was gepleegd, door de CIA en de Duitse Bundesnachrichtendienst (BND). De inlichtingendiensten waren achter de schermen de werkelijke eigenaar van Crypto AG, met als voornaamste doel: ‘Wereldwijd zo veel mogelijk apparaten verkopen die stiekem door de NSA en de BND gekraakt kunnen worden.’

Zo valt althans te lezen in een uitgelekte evaluatie van ‘Operatie Rubicon’. Afnemers van Crypto AG kregen machines met daarin geraffineerd verzwakte versleutelingsalgoritmes. De berichten die ermee werden verstuurd waren voor de geheime diensten te kraken. In dit verslag van ‘Rubicon’ staat ook een opvallende passage over Data Encryption Standard, kortweg DES. Het versleutelingsalgoritme dat begin jaren tachtig door het Amsterdamse bedrijfje TextLite werd ingebouwd in een vroege voorloper van de mobiele telefoon: de PX-1000. Een zogeheten 'pocket-telex', met een voor die tijd zeer moeilijk te kraken versleuteling. 

Argos onthulde in april 2019 hoe Philips voor het karretje van de NSA was gespannen om deze PX-1000 van de markt te halen. Een operatie die, zo blijkt nu uit de gelekte documenten, onderdeel was van een wereldwijde operatie om de markt voor versleutelde communicatie te kunnen controleren.

Het apparaatje was zo’n twintig bij tien centimeter groot. Grijs, met een piepklein beeldscherm. Met het kenmerkende analoge modem-geluid van de vorige eeuw werden versleutelde berichten per telefoonlijn verstuurd. Ter vergelijking: berichtjes die tegenwoordig via Whatsapp of Signal worden verstuurd, zijn standaard voorzien van 256 bit versleuteling. Maar in die tijd werd de 64-bits encryptie van DES onkraakbaar geacht. Dat kon ‘alleen door de allerbeste, duurste en snelste computers in die tijd. En dat waren dingen die een hele ruimte in beslag namen’, aldus de inmiddels overleden Hugo Krop in de Argos-uitzending van afgelopen april. 

Krop was de uitvinder van de PX-1000. In de uitzending haalt hij herinneringen op aan zijn vinding en hoe zijn ‘pocket-telex’ alarmbellen deed afgaan bij de Amerikanen. Hij en zijn compagnon Arie Hommel werden benaderd door Philips, dat een eigen afdeling encryptie had en ook machines leverde aan NAVO-partners. Krop: ‘Die heeft zich tot ons gewend met een voorstel: wilt u alle apparaten opsporen en terugkopen? Wij zullen u een minstens zo goede encryptiesleutel geven en dan gaan wij dat apparaat distribueren (…) maar wij vertrouwden die nieuwe sleutel natuurlijk voor geen cent.’

Krop vermoedt dat de NSA achter de deal zit. Die argwaan blijkt terecht. In het uitgelekte evaluatierapport van de CIA wordt het DES-algoritme in de PX-1000 ‘de grootste bedreiging van het programma (Rubicon, red.)’ genoemd. ‘Een geest die wachtte om uit de fles te komen’, aldus de auteurs. 

In het eveneens uitgelekte rapport van de BND staat dat de NSA en de CIA ‘de export van apparaten met DES zullen verhinderen’. Een passage die de gebeurtenissen rond TextLite en de PX-1000 in een ander daglicht zetten. Philips betaalde destijds 30 miljoen gulden om de originele PX-1000 van de markt te halen en te vervangen door een 2.0 versie. Wat afnemers niet wisten was dat het nieuwe algoritme ernstig was verzwakt. In plaats van 64-bits is de versleuteling teruggebracht tot 32 bits. 

Speelde Philips hier onder één hoedje met de NSA? Afgelopen jaar benaderde Argos verschillende betrokkenen bij de PX-1000 deal. Zij bevestigen dat Amerikaanse NSA-medewerkers aanwezig waren bij de presentatie van het 2.0 algoritme. Maar de topcryptograaf van Philips uit die tijd, wiskundige Cees Jansen, hield zich op de vlakte. Desgevraagd bevestigde hij wel dat het nieuwe algoritme inderdaad vier miljard keer zwakker was dan het oude, ‘onkraakbare’ DES-algoritme in de PX-1000. Zou het kraken aanvankelijk een jaar hebben gekost, dan was dat nu nog maar 0,007 seconden. 

Welke rol speelde Philips bij operatie ‘Rubicon’? Luister zaterdag naar de ontknoping in het dossier Cryptoleaks. Om 14:00 op NPO Radio 1.