Deep Packet Inspection (DPI) is plotseling onderwerp van een politieke discussie, nadat bekend werd dat KPN en Vodafone van DPI gebruik maken. In de discussie wordt onder andere verwezen naar het briefgeheim. De analogie met het briefgeheim gaat echter mank en legt de nadruk op privacy aspecten, terwijl de discussie moet gaan over vrije toegang tot het Internet (en niet over het al dan niet toestaan van DPI).

Om een brief te bezorgen, hoef je de envelop niet te openen: het adres staat immers op de buitenkant. Internet werkt anders. Op het Internet worden berichten (een email, een Skype gesprek, of een WhatsApp bericht) in kleine pakketjes van vaste lengte verdeeld. Ieder pakketje bestaat uit een zogenaamde header, gevolgd door de payload. In de header staan de afzender en de ontvanger (beide als IP adres). De inhoud van het bericht staat in de payload. Er zit echter geen envelop om zo’n pakketje. Het is meer alsof je een lange brief verstuurd als een groot aantal briefkaarten.

Dit komt doordat op het Internet berichten elektronisch worden verstuurd.

Speciale computers (de routers) zorgen ervoor dat berichten bij de ontvanger terechtkomen. Deze routers zijn de distributiecentra van het Internet en staan bij Internet Service Providers (ISP’s) en telecommunicatiebedrijven. Net als bij gewone post kan een bericht via meerdere routers gestuurd worden voordat het bij de uiteindelijke bestemming aankomt. Om een bericht door te kunnen sturen moet een router het bericht eerst in zijn geheel lezen en tijdelijk opslaan in het geheugen. De payload wordt zonder verdere analyse bit voor bit gekopieerd. De payload blijft dus ruwe data. De header wordt wel geanalyseerd om de IP adressen die er in staan te achterhalen en om te zetten naar begrijpelijke informatie. Op basis van die informatie wordt bepaald hoe het bericht verder gestuurd moet worden. Uiteindelijk wordt het hele bericht gewist, maar technisch gesproken “leest” je ISP dus al je berichten.

Datzelfde gebeurt ook met Deep Packet Inspection (DPI). DPI is niets anders dan een speciale router die bij ieder binnenkomend pakketje niet alleen de header omzet naar informatie, maar ook de payload analyseert, om vervolgens iets te doen met deze extra informatie. KPN heeft deze techniek gebruikt om te kijken wat voor soort berichten er over zijn mobiele data netwerk gaan. Vodafone gebruikt deze techniek om bepaald gebruik van haar mobiele data netwerk (het zogenaamde “tetheren”) daadwerkelijk te blokkeren. ISP’s gebruiken overigens al jaren een vergelijkbare techniek om spam te filteren. Ook daarvoor moet in de inhoud van het bericht gekeken worden. Tevens wordt DPI gebruikt om botnets te detecteren, de verspreiding van virussen via het Internet te analyseren en geïnfecteerde PC’s tijdelijk van het Internet af te sluiten.

We zien dus dat

  • technisch gesproken er erg weinig verschil is tussen een router en DPI,
  • en er goede redenen zijn om de payload van een pakketje om te zetten in informatie.

Het heeft daarom weinig zin om een discussie te voeren over de vraag of we DPI moeten toestaan of niet. Juridisch gezien is het lastig onderscheid te maken tussen een router en DPI. Bovendien moet wetgeving techniek onafhankelijk zijn. In plaats daarvan zou de discussie moeten gaan over de negatieve gevolgen van het toepassen van technieken als DPI.
Wat zijn dan die negatieve gevolgen? Die liggen niet alleen op het terrein van de privacy, maar veel meer in de sfeer van netneutraliteit. Een reden temeer waarom een vergelijking met briefgeheim in relatie tot DPI mank gaat, overigens. Technieken als DPI geven ISPs de macht om

  • de kwaliteit van het Internet te bewaken,
  • de veiligheid van het Internet te verhogen door spam, virussen en botnets te blokkeren,
  • berichten voorrang te geven op andere berichten,
  • te registreren van welke internet diensten je gebruik maakt, en hoeveel,
  • op basis daarvan profielen over jou op te stellen en te verkopen,
  • voor bepaalde diensten meer of minder te laten betalen,
  • bepaald gebruik onmogelijk te maken door berichten te blokkeren.

De meeste mensen zullen het er mee eens zijn dat het bewaken van de kwaliteit van het netwerk en het filteren van spam, virussen en botnets legitiem is. Merk overigens op dat het juridisch gezien nog best lastig is om spam en dergelijke duidelijk te definiëren. Voorkomen moet worden dat ander, wellicht ongewenst maar desalniettemin legitiem, gebruik (denk aan pornografie) ook geblokkeerd wordt. Censuur ligt immers op de loer.

Het voorrang geven aan bepaalde berichten ligt al iets subtieler. Om Skype gesprekken en video’s in real-time over het Internet te versturen, mogen dergelijke pakketjes niet te lang bij een router geparkeerd worden. Deze pakketjes krijgen daarom voorrang. Dat is geen probleem, zolang ander verkeer daar niet te veel hinder van ondervind. Dit kan ondervangen worden door bij bepaalde belasting van het Internet, nieuwe real-time verbindingen te weigeren. Maar er zijn al ISP’s die vinden dat bedrijven als Google en Facebook moeten betalen voor de data die de ISP aan hun klanten verstuurd. Krijgen in de toekomst pakketjes van bedrijven die betalen voorrang op pakketjes van bedrijven die niet betalen aan de ISP?

Profilering van Internetgebruik is nu al niet toegestaan op basis van de Wet bescherming persoonsgegevens. Daar kunnen we dus kort over zijn. Blijft over de vrije toegang tot het Internet.

Tariferen van berichten door een ISP is moeilijk te verdedigen en dus ongewenst. Qua kosten maakt het voor een ISP niet uit waarvoor een pakketje wordt verstuurd en welke informatie daar in staat. De kosten worden immers puur bepaald door het aantal bits dat verstuurd wordt. Laat gebruikers die veel data versturen daarom meer betalen, maar maak daarbij geen onderscheid of deze gebruikers video’s kijken, Skypen, WhatsApp gebruiken of emailen. Elke vorm van tarifering riekt naar willekeur en is (gezien de voorbeelden waarin WhatsApp en Skype als premium services worden genoemd) vooral bedoeld om bestaande (niet Internet gebaseerde) melkkoeien van telecombedrijven te beschermen.

Blokkeren van berichten zou moeten vallen onder een “nee, tenzij” regime. Hierboven is het filteren van spam, virussen en botnets al als mogelijke uitsluitinggrond genoemd. Maar vrije toegang tot informatie is een groot goed en in veel landen gelijk gesteld aan het recht op vrije meningsuiting. Immers zonder vrije toegang tot informatie is het onmogelijk om zich een mening te vormen. In het bijzonder geeft het geen pas om gebruikers te verbieden om hun mobiele telefoon te gebruiken als netwerkverbinding voor hun laptop (het zogenaamde tetheren). Het argument dat tethering leidt tot overbelasting van het het mobiele netwerk van Vodafone, is dus gewoon een argument tegen flat-fee abonnementen…

Een duidelijk standpunt van de regering over vrije toegang tot het Internet, dat bovengenoemde punten adresseert, is essentieel. ISP’s hebben te veel controle over het Internet om dat aan deze marktpartijen over te laten.

(Met dank aan Dimitri Tokmetzis voor de review.)