Categorie archieven: Beveiliging

Twitter zet extra slot op deur

Geplaatst op door
Beantwoorden

Tweede slot op Twitter Het was al aangekondigd nadat Barack Obama volgens een AP-twitterbericht gewond was geraakt bij een aanval (maar niet heus): Twitter gaat de boel beter beveiligen. Naast gebruikersnaam en wachtwoord moet er een aparte code worden ingevuld die de gebruiker krijgt toegestuurd naar je mobiel (iets als een TAN-code bij banktransacties op het web). Als je die extra beveiliging op je kwetterplaats wil hebben dan je die mogelijkheid zelf aanvinken (“om een verificatiecode vragen als ik inlog”). Gevoelig punt is dat je dan weer je mobiele nummer aan Twitter kwijt bent….

Bron: Wired

Google weer gekraakt

Geplaatst op door
Beantwoorden

En weer is er bij Google ingebroken door Chinezen. Nadat in 2010 de Amerikaanse zoekgigant heeft toegegeven dat er digitaal was ingebroken, zwijgt Google nu in alle talen. Volgens de Washington Post zou het gaan om dezelfde krakers. Die waren op zoek naar gegevens over Chinese industriespionnen in Amerika. Google heeft een databank met gegevens (ook gerechtelijke bevelen) over zaken die bij de Amerikaanse overheid onderzocht worden, waarbij Google een rol speelt. Kennelijk wilden de krakers weten of de Amerikaanse opsporingsdiensten hun spionnen al in de smiezen hadden. De inbrekers vonden Google kennelijk een makkelijker doelwit dan de gerechtelijke databanken. Onduidelijk is hoeveel de krakers hebben meegekregen, maar de Washington Post haalt anonieme deskundigen aan die zeggen dat ze op het punt stonden belangrijke informatie te verzamelen, wat nog niet hetzelfde is dat ze die informatie ook gekregen hebben. Als krakers eenmaal binnen zijn in zo’n databank, zouden ze ook gegevens kunnen wissen of valse informatie kunnen plaatsen.
Ook de servers van Microsoft zouden zijn belaagd. Ook daar waren de krakers op zoek naar informatie over gerechtelijke stappen tegen mensen met een hotmail-abonnement. Microsoft reageerde wel, anders dan de FBI en, zoals gezegd, Google. Reageerders zeiden het vreemd te vinden dat Google dat soort informatie in een databank stopten die ‘gehangen is aan een publiek netwerk (namelijk internet).

Bron: Washington Post

Amerikaanse energiebedrijven doelwit krakers

Geplaatst op door
Beantwoorden

Het is tegenwoordig constant onrustig in de cyberruimte. We hebben net het akkefietje tussen China en de VS gehad of nu blijken het afgelopen weekeinde alweer zo’n tien Amerikaanse energiebedrijven het doelwit te zijn geweest van webaanvallen. Anders dan bij de aanvallen uit China, waar het vooral om spionage ging, zijn deze aanvallen bedoeld om de controle te krijgen over de procesbesturingssystemen van de energieopwekking, zo meldt de New York Times. Onduidelijk is waar de aanvallen vandaan komen, maar het vermoeden bestaat dat de krakers in het Midden-Oosten gezocht moeten worden (met Iran als hoofdverdachte). Ook is niet duidelijk hoe ver de ‘inbrekers’ in het systeem zijn doorgedrongen.
Verschillende Amerikaanse bronnen verwezen naar de aanval afgelopen zomer op het computersysteem van Saudi Aramco, waarbij 30 000 computers van deze Saoedische onderneming werden besmet met een virus. Amerikaanse onderzoekers zouden hebben ontdekt dat Iran achter deze aanval zou hebben gezeten. Ook daar scheen het procesbesturingssysteem het doelwit te zijn, maar de krakers zijn nooit zover gekomen omdat de kantoorcomputers en procescomputers ondergebracht zijn in twee gescheiden systemen.
Een probleem bij het opwerpen van een verdedigingslinie tegen dit soort aanvallen is dat de energiewereld evenals die van de (mobiele) telefoon tot de private sector behoort of is gaan behoren (zoals in Europa). De cyberveiligheid is dus in eerste instantie een privaat initiatief, maar de overheid in de VS wil haar steentje bijdragen. Het Amerikaanse ministerie voor binnenlandse veiligheid heeft inmiddels een afdeling van 600 professionele webkrakers die zich met deze digitale oorlogsvoering bezighoudt. Opmerkelijk is dat op die afdeling de laatste tijd een kleine exodus op gang is gekomen. Die zijn waarschijnlijk weggekocht door Iran 😉

Bron: New York Times

Digitale bankroof levert $ 35 mln op

Geplaatst op door
Beantwoorden
Cybercriminelen maken 35 miljoen euro buit
Twee van de criminelen poseren met een stapel geld die ze hebben buitgemaakt. De foto werd gevonden op de telefoon van een van de mannen. Foto: AP

In New York zijn acht mannen aangeklaagd voor een cyberkraak die zo’n 35 miljoen euro opleverde (ongeveer $ 45 miljoen). De webboeven pasten de gegevens van bankkaarten aan en haalden in een gecoördineerde aanval honderden betaalautomaten leeg, zo valt te lezen in De Standaard.
De Amerikaanse cyberkraak was een onderdeel van een grotere wereldwijde aanval, gericht op banken in Oman en de Verenigde Arabische Emiraten. De overvallers kraakten bankkaarten met saldo, trokken de limieten op en haalden tussen oktober 2012 en april 2013 honderden betaalautomaten leeg. Dat leverde hen naar schatting zo’n 35 miljoen euro op.
Volgens de Amerikaanse aanklager in Boston Loretta Lynch is deze aanval de grootste in zijn soort. Er zijn zeven arrestaties verricht. Een achtste lid van de Amerikaanse tak van de bende is volgens de politie vorige maand vermoord in de Dominicaanse republiek.

Bron: De Standaard (foto: AP)

‘Hengelen’ in België groeit

Geplaatst op door
Beantwoorden

‘Hengelen’ naar toegangscodes blijkt in België steeds populairder te worden, zo meldt De Standaard, al is de totale schade nogal bescheiden. Waren er in heel 2012 1003 gevallen, waarbij in het totaal € 3 miljoen werd buitgemaakt, het eerste kwartaal van dit jaar werden al 473 gevallen genoteerd, waarbij de totale buit € 1,27 bedroeg. Hengelen, ook wel phishing genoemd, is een tamelijk doorzichtige methode waarin het slachtoffer via een e-bericht wordt gevraagd op een (nep)stek van bank of andere financiële instelling in te loggen, om zo de inlogcodes te achterhalen.

Bron: De Standaard

VS beschuldigen China weer van webspionnage

Geplaatst op door
Beantwoorden

Amerika beschuldigt de Chinese overheid en Chinese militairen er van regelmatig in commputersystemen van de Amerikaanse overheid rond te neuzen, zo blijkt uit het jaarverslag van het Pentagon. De Chinezen zouden daar op zoek zijn naar informatie over economische, militaire en diplomatieke zaken, zo meldt de BBC. De Chinese overheid wijst, eens te meer, de beschuldigingen verontwaardigd van de hand. Het persbureau Xinhua citeert kolonel Wang Xinjun, een onderzoeker van het Volksleger, die stelt dat zowel China als de VS slachtoffer zijn van webspionnage en dat het beter zou zijn als beide landen zouden samenwerken om die ‘inbraken’ in de toekomst te voorkomen.
Hoewel de VS China al veel langer verdenken van het inbreken in Amerikaanse computersystemen, kwam het tot dit jaar maar zelden tot expliciete beschuldigingen. Die Amerikaanse voorzichtigheid schijnt nu tot het verleden te behoren. Eerder dit jaar zou een gebouw van de Chinese militaire overheid zijn gelokaliseerd, van waaruit het Amerikaanse web zou zijn belaagd.
Volgens Jonathan Marcus, diplomatiek correspondent van de BBC, zullen de VS niet willoos toezien hoe China zijn computersystemen binnentrekt, maar in de tegenaanval gaan. Eerder hebben Amerikanen via het web een deel van het Iraanse kernenergieprogramma ‘onklaar’ gemaakt. Volgens Marcus een kleine voorproef van wat ons te wachten staat in deze webwereldoorlog.

Bron: BBC

Open software veiliger onder de miljoen regels

Geplaatst op door
Beantwoorden

Open programmatuur (‘open source software’) bevat gemiddeld minder beveiligingskwetsbaarheden en codefouten dan commerciële software. Tenminste, zo lang het programma de 1 miljoen coderegels niet overschrijdt. Daarna wint de betaalde programmatuur het van de ‘ideële’: 0,75 codefouten per 1000 regels tegen 0,66. Dat blijkt uit een onderzoek van het Amerikaanse bedrijf Coverity, dat zich bezig houdt met het testen van nieuwe software.
Het onderzoek is een initiatief van het Amerikaanse ministerie voor binnenlandse veiligheid. Het eerste onderzoek werd uitgevoerd in 2006. Open programma’s worden gratis getest, commerciële programma’s worden getest tegen betaling. In het totaal zijn 68 miljoen regels open programmatuur getest (118 projecten) en 380 miljoen regels commerciële programmatuur (250 projecten).
Tot dit jaar bleek het niet uit te maken of een programma gratis of betaald was als het ging om beveiligingslekken en fouten in de code. Dit jaar lijken de commerciëlen het te gaan winnen bij de grote programma’s, terwijl de minder grote de open programmeurs het beter doen. Het zou wel eens kunnen zijn dat de groei van de open protuur de ‘ideëlen’ parten speelt. Nu hebben nog maar 13 open projecten meer dan 1 miljoen regels code. Maar de neiging is naar groter. In 2008 bedroeg de gemiddelde programmalengte 425 179 regels, dit jaar 580 000. Het foutengetal bij alle open programma’s steeg dan ook van 0,45 in 2008 naar 0,69 nu. Overigens is het verschil met de commerciële programma’s niet erg veel lager: 0,68. Bij programma’s tussen 500 000 en 1 miljoen regels scoren de ‘ideëlen’ twee keer zo goed: 0,44 tegen 0.98.

Bron: Wired

AP-profiel Twitter gekraakt, extra code moet krakers temmen

Geplaatst op door
Beantwoorden

Twitter gevoelig voor inbraakHet Witte Huis is met bommen bestookt en Obama is gewond, dat stond gister op het Twitter-profiel van het Amerikaanse persbureau Associated Press te lezen. Groot nieuws, maar later bleek het onzin te zijn. Het profiel was gekraakt door het Syrische elektronische leger, dat al eerder op elektronisch oorlogspad is geweest. Die stek blijkt nu uit de lucht te zijn.
Twitter wil beveiliging vergroten
Twitter heeft aangekondigd de profielen van de kwetteraars beter te zullen beveiligen tegen kraken, zo meldt het Amerikaanse webblad Wired. De gebruiker moet in de nieuwe situatie niet alleen een wachtwoord intikken, maar ook een soort TAN-code, die hij/zij krijgt toegestuurd via, bijvoorbeeld, sms. Volgens AP zou het wachtwoord zijn ‘opgevist’, maar met de nieuwe procedure zou dat geen, onoverkomelijk, probleem zijn. Het gaat nog om een proef. Onduidelijk is wanneer het nieuwe beveiligingsprotocol algemeen wordt. Hoogstwaarschijnlijk zullen ‘gevoelige’ profielen zoals die van AP of het Witte Huis het eerste aan bod zijn.

Bronnen: Le Monde, Wired

Politie beloert burgers

Geplaatst op door
Beantwoorden

Het afluister- en filmkastje dat vorige week door Ziggo in de Haagse Schilderswijk is ontdekt, blijkt van de politie te zijn, zo meldt De Volkskrant. Het kastje wordt gebruikt voor opsporingsonderzoek naar vermogenscriminaliteit, zo gaat de krant verder. Vermogensdelicten kunnen van alles zijn waar geld mee te maken heeft: van diefstal tot witwassen van geld. De politie zou toestemming hebben van het OM om burgers in de Haagse wijk te mogen bespieden, zegt de Volkskrant, maar dit voorval laat weer eens zien hoe makkelijk er toestemming gegeven wordt voor het registreren van handel en wandel van de burgers onder het mom van misdaadbestrijding. Bovendien dient een rechter-commissaris toestemming te geven. Laten we het er op houden dat De Volkskrant met dat OM in de fout gaat, maar dit voorval laat maar weer eens zien dat de Nederlandse overheid is, zeker in vergelijking met andere Europese landen, bijzonder makkelijk in het verlenen van vergunningen dit soort ‘bijzondere’ opsporingsmethoden.

Bron: De Volkskrant

CBP maant AH en Whatsapp, NS en RET moeten dokken

Geplaatst op door
Beantwoorden

CBP-voorzitter Jacob Kohnstamm CBP-voorzitter Jacob Kohnstamm


Vervoersmaatschappijen NS en de Rotterdamse Elektrische Tram (RET) zijn het vorig jaar stevig aan hun taas getrokken vanwege overtreding van de wet bescherming persoonsgegevens, zo blijkt uit het onlangs verschenen jaarverslag van het College Bescherming Persoonsgegevens (CBP). De RET moest € 120 000 en NS € 125 000 betalen omdat ze de reisgegevens van hun klanten langer dan 24 maanden bewaarden. Beide bedrijven zouden de illegale gegevens hebben gewist en de boete hebben betaald. Het Amsterdamse vervoersbedrijf GVB heeft bezwaar aangetekend tegen de dwangsom. Die rechtzaak loopt nog.
Het vorig jaar heeft het CBP in 58 gevallen onderzoek gedaan naar overtreding van de wet bescherming persoonsgegevens en in 15 gevallen was het raak. Albert Heijn ging volgens het CBP te ver door in “Mijn bonus” gepersonifieerde aanbiedingen te doen op basis van het aankoopgedrag van de klant. Daar had AH toestemming van de klant voor moeten vragen. De winkelketen lijkt zijn leven gebeterd te hebben en is vooralsnog gestopt met de actie. Ook bleek dat AH anonieme bonuskaarten op naam bracht, nadat een houder van de anonieme kaart een webaankoop bij het bedrijf had gedaan en zijn anonieme kaart had gebruikt. Ook dat achtte het College niet in de haak en AH heeft nu op het web gezet wanneer anoniem niet meer anoniem is.
Ook de populaire mobiele dienst Whatsapp moest er aan geloven. Via het progje verstuurde berichten zijn niet versleuteld en kunnen, zonder dat de verzender of ontvanger dat merkt, door derden worden gelezen. Ernstiger is dat Whatsapp eist toegang te hebben tot het hele telefoonboek van de gebruikers (dus ook die van niet-whatsappers). Die kunnen niet kiezen. Alleen in iOS 6 van de iPhone van Apple is de gebruiker de baas. De versleuteling is inmiddels een feit, maar hoe en of Whatsapp de telefoonroof gaat beteugelen moet nog worden afgewacht. Het CBP en zijn Canadese collega-instituut, die samen het onderzoek hebben uitgevoerd, houden de vinger aan de pols.
Het jaarverslag maakt duidelijk hoe wijdverbreid het probleem van de bescherming van de privesfeer ligt. Dat geldt voor politiediensten zoals de centrale inlichtingeneenheden (cie) waar gegevens van ‘cliënten’ van de politie (te lang) worden bewaard, voor de gezondheidszorg, maar ook voor particuliere bedrijven en de belastingdienst, die onbekommerd inkomensgegevens verstrekt om het scheefwonen tegen te gaan. Uit het jaarverslag rijst het beeld op dat er veel verzameld, gekoppeld en ingezien wordt.
Het CBP zal het lopende jaar speciale aandacht besteden aan de transparantie van gegevensverwerkingen, toestemming van burgers, doelbinding en beveiliging. Daarnaast richt het College zich op profilering, bescherming van medische gegevens, gegevensverwerking binnen de arbeidsrelatie en bescherming van persoonsgegevens van kinderen, zo meldt de webstek.
We blijven het CBP met grote aandacht volgen.
Bron: Jaarverslag CBP