internetbeveiliging

Twentse antivirusvisionair overgenomen door Britse multinational in IT-beveiliging

14 dec 2015

Banken steeds banger voor cybercriminelen

14 dec 2015

Versleuteling, ook wel encryptie genoemd, wordt op internet veelvuldig gebruikt om privégegevens te beveiligen. Een vakgroep aan de Katholieke Universiteit Leuven vervult daarbij een cruciale rol, onder aanvoering van de Belgische encryptiegoeroe Bart Preneel. Internetbankieren, e-maildiensten, zoekopdrachten via Google en berichtenapps als Whatsapp: ze maken gebruik van versleuteling om privégegevens te beveiligen. Handig voor de gebruiker, want die is zo verzekerd dat er niemand meegluurt en informatie steelt. Maar voor inlichtingendiensten is encryptie een doorn in het oog. Na de aanslagen in Parijs borrelde de discussie weer omhoog: moet er een einde komen aan versleutelde communicatie? De directeur van de FBI deed deze week daarbij een opvallende duit in het zakje. Hij opperde dat techbedrijven die hun apparaten en software versleutelen "zouden moeten overwegen hun businessmodel aan te passen". Eerder dit jaar, na de aanslag op de redactie van het satirische magazine Charlie Hebdo, sprak de Britse premier David Cameron zich uit: geheime diensten moeten toegang krijgen tot versleutelde berichten om nieuwe terreurdaden te voorkomen. Dat dat technisch gezien onmogelijk is en de privacy van burgers schendt, doet voor Cameron niet ter zake. Encryptiehoofdstad Leuven Baanbrekend werk op het gebied van encryptie vindt plaats in Vlaanderen, aan de bijna 600 jaar oude Katholieke Universiteit Leuven. De vakgroep Computer Security and Industrial Cryptography is in de afgelopen vijftien jaar uitgegroeid tot één van de leidende onderzoeksgroepen ter wereld als het gaat om digitale versleuteling van informatie. Zo bedachten twee leden van de vakgroep eind jaren negentig het Rijndael-algoritme. Dat werd in 2000 door de Amerikaanse wetenschappelijke instelling NIST gekozen als basis voor de nieuwe Advanced Encryption Standard, dat tegenwoordig één van de meest gebruikte technieken is om informatie op internet te versleutelen. Professor en privacyheld Preneel Hoofd van de vakgroep in de Belgische cryptograaf Bart Preneel. Hij kwam in 1987 binnen voor zijn promotie-onderzoek en tien jaar later werd hij benoemd tot professor. Preneel wordt door privacy-activisten gezien als een held, maar critici stellen dat zijn werk het voor overheden moeilijker maakt om terreur tegen te gaan. Daarover heeft Preneel een afgewogen mening. "Overheden moeten sommige dingen in het geheim doen. Aan de andere kant moeten burgers ook op legale wijze dingen in het geheim kunnen doen", zei hij in een recent interview waar The Wall Street Journal uit citeert. Preneels vakgroep doet uiteenlopende klussen, voor zowel overheden als het bedrijfsleven. Zo ontdekte een team onderzoekers in opdracht van de Belgische privacywaakhond CBPL dat Facebook het surfgedrag van niet-gebruikers volgt. De rechter oordeelde daarop dat Facebook daarmee moet stoppen, op straffe van een dwangsom. Ook mag Preneel onder meer multinationals als Sony, Unilever en de Nederlandse chipfabrikant NXP tot zijn klanten rekenen. "Ze geven me een protocol met de opdracht: kraak het", zegt Preneel. "Soms doe ik dat ook."

Versleutelen van digitale informatie? Daarvoor moet je in Leuven zijn

11 dec 2015

De beveiliging van persoonsgegevens is bij veel bedrijven zo beroerd geregeld dat de kans groot is dat gevoelige informatie van klanten op straat beland. Volgens IT-consultant en hacker Sijmen Ruwhof moeten bedrijven hun beveiliging beter testen. Computers en netwerken beveiligen is voor bedrijven erg lastig. Je verdient er nou eenmaal niks mee, en lang niet iedereen heeft de nodige expertise in huis. Ook grote bedrijven niet, ontdekte het Amerikaanse beveiligingsbedrijf Wandera weer eens. Wandera maakte deze week bekend dat de mobiele websites van zeker zestien grote bedrijven, waaronder Aer Lingus en EasyJet, informatie naar hun server sturen zónder encryptie. Op die manier bestaat het risico dat de persoonsgegevens en creditcard-gegevens van de klanten in handen vallen van derden. Een ander ernstig lek ontdekte IT-beveiligingsconsultant Sijmen Ruwhof bij toeval toen hij voor zichzelf een nieuw telefoonabonnement ging afsluiten bij Phone House. De winkel in Utrecht, gevestigd in een filiaal van Media Markt, bleek erg onvoorzichtig om te gaan met wachtwoorden. Enkele maanden eerder had Ruwhof een verkoper er al op gewezen dat het misschien niet zo'n goed idee is om het wachtwoord van de computers op een post-it-note aan de monitor te hangen. Dit keer opende de medewerker van de winkelketen voor zijn ogen een spreadsheet met de wachtwoorden van dealer-portaalsites van alle grote telecombedrijven. Terwijl hij de gegevens opzocht, kon Ruwhof onopvallend een foto van het scherm maken. Om later niet aangeklaagd te kunnen worden voor wat bij de rechter 'computervredebreuk' heet, heeft Ruwhof niet zelf ingelogd bij de portals, maar medewerkers van Phone House bevestigden dat hij met de gevonden gegevens overal bij zou kunnen. Phone House is de grootste dealer van telefoonabonnementen, zodat de NAW-gegevens (naam, adres en woonplaats) plus hier en daar kopieën van paspoorten en rijbewijzen te vinden zouden zijn van miljoenen Nederlanders met een mobiele telefoon. Veel klunzige beveiligingsfouten Dat grote bedrijven zulke klunzige beveiligingsfouten kunnen maken, zou je niet geloven als het niet zo vaak voorkwam. Op Sijmen Ruwhofs weblog staan veel voorbeelden van Nederlandse bedrijven die de mist ingaan. Hij werkt als freelancer en in deeltijd voor de Rabobank als 'ethische hacker'; hij onderzoekt de beveiliging van bedrijven door te kijken hoe moeilijk of makkelijk hij in kan breken in hun computers. Hoe staat het volgens hem in Nederland met de computerveiligheid? “Het staat er eigenlijk best heel slecht voor. Ik doe dit werk al 17 jaar, maar ik kom wekelijks iets tegen dat me verbaast.” In tachtig procent van de gevallen zijn er 'onacceptabele beveiligingsrisico's'. “Bij een derde van de onderzoeken vind ik een kritisch beveiligingslek zoals bij Media Markt, dus een gapend gat waardoor je rechtstreeks de database in kan.” Hoe veilig zijn apps? Ruwhof twijfelt er niet aan: als het onderzoek van het Amerikaanse bedrijf hier herhaald zou worden, dan zou je precies hetzelfde vinden. Ook grote Nederlandse bedrijven hebben immers apps en mobiele sites waar je al je gegevens achterlaat om producten te bestellen. Ruwhof: “Veel ontwikkelaars hebben nauwelijks kennis van het bouwen van mobiele websites en apps, maar ze krijgen wel die vraag van opdrachtgevers. Ze houden vervolgens geen rekening met de speciale eigenschappen van dat platform. Je kunt wel https-verbinding opzetten met de server, maar controleert de mobiele telefoon wel of het certificaat dat je gebruikt geldig is? Op de computer ziet de eindgebruiker nog een rood kruis in de adresbalk, of een waarschuwing, maar die controles heb je niet als je je bankieren-app start. Je hebt geen idee hoe veilig de verbinding is. App-bouwers moeten daarvoor extra stappen zetten.” "Voor mij leuke tijden, maar als burger zou ik mij zorgen maken" Het bewustzijn van beveiligingsrisico's moet drastisch verbeteren, vindt Ruwhof. “Het lijkt wel alsof de situatie erger wordt. Dat is ook niet verwonderlijk, omdat we als samenleving ontzettend hard aan het digitaliseren zijn. Alles wordt aan internet gekoppeld, zelfs onze electriciteitscentrales. De systeembeheerders die dat aan elkaar knopen, lopen zwaar achter. Zij zijn alleen bezig met de nieuwste technieken, terwijl het echt een dagtaak is om beveiliging bij te houden. Dat kun je ook niet van ze verwachten. Maar dat betekent wel dat kwaadwillenden hele grote schade kunnen aanrichten, zoals bijvoorbeeld sluizen openzetten. Ik kan je vertellen dat dat helemaal niet zo vergezocht is. Voor mij worden het steeds leukere tijden, maar als burger maak ik me ernstig zorgen.” In zijn lange blogpost over het lek bij Media Markt en Phone House geeft Ruwhof 26 tips aan de betrokken bedrijven. De meeste zouden veel bedrijven ter harte kunnen nemen: zorg dat werknemers of dealers alleen sterke wachtwoorden kunnen aanmaken, en dat interne beheerportalen niet van buitenaf toegankelijk zijn. “Het maakt me bedroefd dat al die tips niet gewoon de praktijk zijn voor bedrijven in 2015.” Het ongelofelijke is dat het probleem bij de Phone House-winkels nog steeds niet is opgelost. Afgelopen week, ook nadat Ruwhofs onthulling al flink wat aandacht had gekregen, bleken er nog steeds Phone House-medewerkers te werken met het wachtwoorden-bestand dat ook voor klanten zichtbaar is. Sinterklaas komt zonder pasje de bank wél binnen Bedrijven moeten goed nadenken over hoe ze de risico's managen, adviseert Ruwhof. “Mogen klanten meekijken op schermen of niet? Houdt bij de rokersingang iedereen de deur voor elkaar open, of wil je een cultuur dat iederen toch maar even zijn pasje moet laten zien?” Een van zijn favoriete voorbeelden, is dat mensen van een testbedrijf een keer in Sinterklaaspak naar een financiële instellingen gingen. “Iedereen moet een pasje hebben om het gebouw in te mogen. Maar ja, je gaat sinterklaas niet om een id vragen. Die mocht dus gewoon doorlopen.” Ruwhofs voornaamste advies is om een testbedrijf in te huren om een goed overzicht te krijgen van de risico's. Die markt heet security testing. Er zijn bedrijven actief zoals Madison Gurkha en Securify, maar ook KPMG en Deloitte hebben ethische hackers in dienst. “Laat maar eens zo'n bedrijf uitzoeken wat een aanvaller in een week zou kunnen uitrichten. Daar komt vaak een rapport uit met tientallen risico's en lekken. Met zo'n dik rapport kan de it-afdeling budget gaat claimen om iets te gaan doen aan beveiliging.” Dat is natuurlijk waarom security een lastig onderwerp is: het kost geld, maar levert niet op. “Beveiliging draagt niet bij aan de winst, maar kan wel een gigantisch verlies voorkomen. Als je ziet wat een incident je kost, als je gehackt bent, dat is niet te onderschatten. Zeker als je met vertrouwelijke klantgegevens werkt. Toen in oktober uitkwam dat de Britse telecomprovider TalkTalk was gehackt, kelderden de aandelen met dertig procent. Een grote breuk in vertrouwen kan heel veel ellende opleveren.” Die afweging wordt binnenkort misschien een stuk makkelijker voor veel ondernemers. Vanaf 1 januari 2016 zijn nieuwe regels van kracht die de Autoriteit Persoonsgegevens (voorheen College Bescherming Persoonsgegevens) meer slagkracht moet geven. De nieuwe wet verplicht bedrijven beveiligingsincidenten te melden bij de overheid. Bedrijven kunnen een boete krijgen van maximaal 820.000 euro als ze ernstige privacyschendingen niet melden. Als de problemen bij Phone House en Media Markt niet gauw opgelost worden, zou dat wel eens een dure vergissing kunnen worden. Sijmen Ruwhof: “Ik ben heel blij met die nieuwe wet. Beveiliging wordt zo een veel makkelijker verhaal, niet meer zo vrijblijvend. Een test is veel goedkoper dan een boete. Dan wordt het ineens een business case.” LINKS http://sijmen.ruwhof.net/weblog/608-personal-data-of-dutch-telecom-providers-extremely-poorly-protected-how-i-could-access-12-million-records https://cbpweb.nl/nl/nieuws/cbp-publiceert-beleidsregels-meldplicht-datalekken

Zo slordig gaan bedrijven met persoonsgegevens van hun klanten om

Jaap Meijers

11 dec 2015

Bezoekers van hotelketen Hilton zijn mogelijk slachtoffer geworden van een hack van het betalingssysteem. Iedereen die in de hotels, maar ook in de bars, giftshops en restaurants bij de hotels heeft betaald met een betaalpas doet er goed aan zijn bankgegevens te controleren, meldt RTL Z op basis van een verklaring van Hilton. De hack tastte de systemen aan in de periodes 18 november tot 5 december 2014 en 21 april tot 27 juli van dit jaar. De verklaring werd uitgegeven voor alle hotels wereldwijd, maar of ook de hotels in Nederland zijn getroffen kon Hilton Nederland in een toelichting niet zeggen.

RTLZ: betalingssysteem Hiltonhotels besmet met malware

25 nov 2015

ad scheepbouwer

Delftse computerbeveiliger Fox-IT in Britse handen, oud-KPN-topman Scheepbouwer profiteert

ANP

24 nov 2015

Nieuw wachtwoord nodig? Je kunt vanaf nu terecht bij de 11-jarige Mira Modi, een meisje dat in New York wachtwoorden genereert met dobbelstenen, ze opschrijft en per post naar je opstuurt. Je kent het wel: bij het aanmaken van een account voor een internetdienst moet je een wachtwoord verzinnen. Om maar snel te beginnen met waarvoor je écht op de site kwam, gebruik je er maar eentje die je ook al voor tien andere sites verkozen had. Daar komt nu een einde aan, want je kunt bij een 11-jarig meisje in New York een wachtwoord kopen. Dat je zelf niets hoeft te verzinnen, is een miniem voordeel. De 2 dollar kostende passwords zijn ook cryptografisch moeilijk te breken. Modi gebruikt het systeem Diceware om de wachtwoorden te genereren. Met zes dobbelstenen komt ze uit bij woorden op een lijst die daardoor willekeurig achter elkaar geplakt worden. In het Nederlands kom je dan bijvoorbeeld uit op "vraag wei blij flair dictie drank", uiteraard zonder spaties. Deze woorden hebben nauwelijks een relatie met elkaar en zijn daardoor lastiger te kraken als wachtwoord. "Goede wachtwoorden zijn belangrijk", zegt Modi tegen ArsTechnica. "Er zijn tegenwoordig zulke goede computers, mensen kunnen alles hacken en ook erg snel." Het voordeel van een Diceware-wachtwoord is dat ze - na een beetje oefenen - best goed te onthouden zijn, of in elk geval makkelijker dan het gedateerde en koddige ezelsbruggetje ding-flof-bips. Toch valt er nog wel het een en ander af te dingen of de methode die Modi gebruikt. Zo valt het aan te raden om een wachtwoord te maken met zowel hoofdletter als kleine letters, cijfers en speciale tekens. Daarnaast is het het veiligst om niet telkens hetzelfde wachtwoord te gebruiken voor elke online service. Koop je tien verschillende passwords bij Modi, dan ben je twintig dollar kwijt. Dat kan goedkoper.

Dit 11-jarige meisje verkoopt ‘sterke’ wachtwoorden voor 2 dollar per stuk

26 okt 2015

Databestanden die je op werkt gebruikt, die zijn niet van jou. Maar betekent dat ook dat je die bestanden en gegevens niet naar je privé adres mag mailen? Dat hangt vooral van de interne bedrijfsregels en de intentie van de werknemer, schrijft Sanders Schouten van AMS Advocaten. In een recente procedure werd een werknemer voor de rechter gesleept door zijn werkgever omdat hij een lijst met vertrouwelijke gegevens van zijn werkcomputer naar zijn privé e-mailadres had gemaild. Toevallig niet lang voordat hij wegging bij deze werkgever. Onrechtmatige daad, zegt de werkgever. De Werkgever in deze zaak houdt zich bezig met arbeidsbemiddeling. De werknemer die van een onrechtmatige daad werd beschuldigd, was in dienst als recruiter. Onderwerp van geschil was een databestand met gegevens van kandidaten. Deze lijst werd door een apart bedrijf opgesteld en uitgegeven. Werkgever heeft daarom een beperkt gebruiksrecht op dit databestand. Per september 2014 is de bewuste werknemer in dienst getreden bij een andere onderneming. Werkgever ontdekte dat werknemer enkele maanden eerder het databestand aan zichzelf had gemaild. De werkgever startte een procedure. Werknemer voerde aan dat hij het bestand enkel had doorgestuurd in de uitoefening van zijn normale werkzaamheden voor werkgever, namelijk om thuis te kunnen werken. Rechter: bestand niet buiten werkuitvoering gebruikt De rechter concludeerde dat weliswaar vaststaat dat de lijst buiten het bedrijfsnetwerk van werkgever is gebracht, maar dat daarmee niet is aangetoond dat het bestand daadwerkelijk is gebruikt voor zaken die niets te maken hadden met uitvoeren van werkzaamheden voor de werkgever. Werkgever heeft dit ook niet gesteld. Zij heeft enkel de vrees geuit dat de lijst door derden zal worden gebruikt of dat dit stiekem al gebeurt. Dat werknemer de lijst naar zijn privé e-mailadres heeft verzonden met het oogmerk zich deze wederrechtelijk toe te eigenen (diefstal) is evenmin gebleken Doorsturen data naar privé mail verboden? Interessant is de slotoverweging van de rechter. De rechter overweegt dat door de voortschrijdende digitalisering van de samenleving en de opkomst van nieuwe (sociale) media, de maatschappelijke opvatting over het professionele gebruik van het elektronische berichtenverkeer inderdaad aan verandering onderhevig is. Maar er is nu nog geen sprake van een algemene regel -zoals werkgever betoogde- dat het een werknemer niet zou zijn toegestaan om aan zijn werkgever toebehorende bestanden naar zijn privé e-mailadres te verzenden. Rechter: taak werkgever regels te stellen aan mailverkeer Het is volgens de rechter namelijk primair aan de werkgever om in het kader van de dienstbetrekking regels te stellen. Die regels zullen mede afhankelijk zijn van de door de werkgever geboden mogelijkheden om thuis te werken, de functie van de werknemer, de aard van zijn werkzaamheden, de vertrouwelijkheid van de digitale bestanden waarover hij in het kader van zijn dienstbetrekking de beschikking heeft en het risico op openbaarmaking. Sander Schouten is advocaat arbeidsrecht en ondernemingsrecht bij AMS Advocaten.

Databestand van je werk naar je privé-mail sturen, mag dat?

05 okt 2015

De inflatie in de Verenigde Staten is in oktober gedaald tot 1 procent op jaarbasis. Dat meldde het Amerikaanse ministerie van Arbeid woensdag. In september bedroeg de geldontwaarding nog 1,2 procent. De daling in oktober voldeed aan de gemiddelde verwachting van economen. Het gemiddelde prijspeil lag vorige maand 0,1 procent lager dan in september. Hier werd een stabilisering voorspeld, na een toename met 0,2 procent op maandbasis in september. De kerninflatie, die de prijsontwikkeling van voedingsmiddelen en brandstof buiten beschouwing laat, kwam in oktober zoals voorspeld uit op 1,7 procent. Op maandbasis namen de prijzen volgens deze maatstaf met 0,1 procent toe. Winkelverkopen in de plus De detailhandelsverkopen in de Verenigde Staten zijn in oktober met 0,4 procent gestegen ten opzichte van september. Economen rekenden in doorsnee op een toename met 0,1 procent op maandbasis. Exclusief auto's stegen de verkopen met 0,2 procent, waar de economen eveneens op een plus van 0,1 procent rekenden.

Vergoeding creditcard-lek: Amerikaanse winkelketen hoest 67 miljoen op

18 aug 2015

Een Russische criminele bende zou 1,2 miljard gebruikersnamen en wachtwoorden en 500 miljoen e-mailadressen hebben buitgemaakt. Volgens cybersecurity-onderzoeker Axel Arnbak gaat het echter om een publiciteitsstunt. Vorige week meldde het Amerikaanse bedrijf Hold Security de grootste diefstal van gegevens ooit. Russische hackers zouden gegevens van 420.000 verschillende websites hebben gehaald, waaronder wachtwoorden en e-mailadressen. Cybersecurity- en informatierecht-onderzoeker Axel Arnbak van de Universiteit van Amsterdam twijfelt aan het waarheidsgehalte van het nieuws. "Het is gemeld door Hold Security, een Amerikaanse firma waar ik nog nooit van had gehoord", zegt Arnbak tegenover het Financieele Dagblad. De details van de inbraak zijn volgens hem niet vrijgegeven en ook niet gedeeld met het internationale netwerk van Crisis Emergency and Response Teams. "Dat is vreemd. Hold Security bood wel meteen een abonnement aan om voor 120 dollar per jaar te onderzoeken of je naam op de lijst van gehackte accounts staat." Volgens Arnbak had de aanval dan ook "meer weg van een goede marketingcampagne van Hold Security." Bron: Z24/ANP

‘Aantal cyberaanvallen op overheid verdubbeld in twee jaar tijd’

13 aug 2015