Categorie archieven: Beveiliging

“Lekke apps ontwerpersfout”

Geplaatst op door
Beantwoorden
Het Chinese equivalent van Twitter Weibo

Veel apps ‘lekken’ gegevens en zouden een achterdeur kunnen zijn waardoor onverlaten zich toegang tot je slimme telefoon (slimtel) kunnen verschaffen. Dat is de conclusie van Liang (Dennis) Xu, student aan de universiteit van Californië (Davis), bij een globale analyse van een groot aantal (hij verzamelde er 120 0000) telefoonprogjes voor de Google-telefoon (Android). Dat is geen boos opzet, maar eerder onhandigheid, is het idee van de student. “Dat zijn ontwerpersfouten”, zegt Xu. “De code is bedoeld afgeschermd te zijn, maar is in werkelijkheid openbaar.” Xu heeft niet naar de apps van dde iPhone van Apple gekeken, maar vermoedt dat daar hetzelfde probleem speelt.
Om toegang te krijgen tot de apps moet de onverlaat eerst een stukje code op het beoogde toestel zien te krijgen. Die kan, bijvoorbeeld, verborgen in een overigens handige app zijn, als bijlage voor een e-bericht of via een webkoppeling.
Xu heeft met zijn hoogleraar informatica Zhendong Su en bezoekend hoogleraar Linfeng Liu van de Chinese  Xi’an Jiatong-universiteit een aantal relatief veel gebruikte progjes die heftig ‘lekten’ nader onderzocht. Handcent SMS is een berichten-app. Xu ontdekte dat een onverlaat ook toegang tot persoonlijke info van de app kan krijgen, inclusief de, met wachtwoord ‘beveiligde’, privéberichten.
WeChat is een babbeldienst die vooral in China populair is en die lijkt op soortgelijke diensten van Yahoo en AOL (America on Line). De dienst werkt op de achtergrond en meldt als er berichten zijn. De dienst kan met een kwaadaardige code uitgezet worden, terwijl de gebruiker denkt dat die nog steeds werkt.
Weibo, de Chinese tegenhanger van Twitter, blijkt ook gevoelig voor kwaadaardige code. Eenmaal op het beoogde toestel maakt de code de kwaadwillende mogelijk zelf berichtjes te sturen.

DigID moet veiliger

Geplaatst op door
Beantwoorden

DigID, de digitale toegangspoort van de overheid moet veiliger worden. Ronald Plasterk presenteerde woensdag zijn versie: de eID (waar het bedrijf e-ID in Vianen niet blij mee is). De eID-kaart is een identiteitskaart met chip die werkt volgens het principe van internetbankieren, zo meldt volkskrant.nl. Identiteitsfraude zou een groeiend probleem zijn waar het vorig jaar zo’n 800 000 mensen het slachtoffer zouden zijn geweest en die gezamenlijk een schade van een half miljard euro zouden hebben geleden. De nieuwe kaart zou die vorm van fraude moeten inperken. De eID-kaart is een persoonlijke kaart die bij elektronische transacties met de overheidsinstellingen als een ‘nagelvaste’ identificatie moet dienen, vergelijkbaar met de verzending van de elektronische handtekening voor een banktransactie TAN via sms.
D66 maakt zich zorgen over de privacygevoeligheid van het systeem. Amerikaanse bedrijven kunnen door hun eigen overheid gedwongen worden privacygevoelige gegevens te verstrekken. Het zou volgens Kamerlid Gerard Schouw beter zijn als er geen Amerikaanse bedrijven bij de totstandkoming van de eID-kaart zouden worden betrokken, maar volgens Plasterk kunnen die niet uitgesloten worden van een openbare aanbesteding, al wil hij wel uitzoeken of daar een juridische mouw aan te passen is.

Bron: volkskrant.nl

Kun je vliegtuigen met Android kapen?

Geplaatst op door
Beantwoorden

Blijkens een bericht in de Volkskrant zijn Kamerleden bang dat ook vliegtuigen elektronisch te kapen zijn.
Wassila Hachchi (D66) heeft staatssecretaris Wilma Mansveld gevraagd daar uitsluitsel over te geven.
De kwetsbaarheid van het vliegverkeer is de wereld in gekomen door uitspraken van beveiligingsdeskundige en opgeleid piloot Hugo Teso op het Hack in the Box-congres in Amsterdam, dat je met een app op een simpele Android-telefoon (PlaneSploit) het ‘roer’ van een vliegtuig kunt overnemen. Hij maakt daarbij misbruik van twee notoir onbetrouwbare communicatiesystemen in een vliegtuig: ADS-B dat informatie over het vliegtuig naar de luchtverkeersleiding stuurt en waarover het vlucht- en weergegevens ontvangt en ACARS dat berichten uitwisselt tussen vliegtuigen onderling en met vluchtleiders via radio en satelliet. Die systemen zijn gevoelig voor passieve en actieve aanvallen. Teso gebruikte ADS-B om doelen te kiezen en ACARS om gegevens te verzamelen over de boordcomputer en voor het afleveren van berichten om het ‘gedrag’ van het vliegtuig te beïnvloeden. Zo liet hij het vliegtuig een aantal opdrachten uitvoeren zoals “Ga hier heen’ en ‘Be punckish’ (een manier om vliegers aan te geven dat er stront aan de knikker is, compleet met knipperende lichten en alarmgeluid). Teso liet in zijn verhaal niet het achterste van zijn tong zien over de manier waarop hij was ingebroken. Vliegtuig te kapen met telefoon
Volgens Hachchi zou Teso beweert hebben dat hij de automatische piloot van het vliegtuig zou kunnen overnemen of laten neerstorten. Zij begrijpt niet waarom er in de luchtvaart met zulke oude en onbetrouwbare systemen wordt gewerkt, soms wel 40 jaar oud. Belangrijke barrière bij vernieuwing van dergelijke systemen in de luchtvaart is juist die veiligheid. De bestaande systemen hebben bewezen te werken en van de nieuwe moet dat nog maar eens worden aangetoond. Problemen bij de introductie van min of meer revolutionaire innovaties in de luchtvaart, zoals de A-380 van Airbus en de Dreamliner van Boeing, laten zien hoe gevoelig vernieuwing in die branche ligt.
Hachchi vindt dat Nederland in Europa moet aandringen op een snelle verbetering van de veiligheid van vliegtuigsystemen. “Nederland heeft een van de drukste luchthavens ter wereld, met onze veiligheid in de lucht moet niet gesjoemeld worden”, laat de Volkskrant haar zeggen.

Bron: De Volkskrant/net-security.org

FBI peilt verdachte met ‘nepmast’

Geplaatst op door
Beantwoorden

De Amerikaanse identiteitsdief David Rigmaiden heeft onthuld hoe de FBI met behulp van een nepmast zijn doen en laten heeft kunnen achterhalen. Rigmaiden, die in 2010 berecht werd omdat hij de belastingen voor $ 4 miljoen getild zou hebben, schreef een dik rapport over de techniek van de FBI. Die geheime dienst had, in samenwerking met webaanbieder Verizon, de wifi-kaart van Rigmaidens computer gemanipuleerd, zodat de nepmast die de FBI had opgesteld om Rigmaidens locatie te Telecom-mastenachterhalen, als normaal onderdeel van de infrastructuur werd gezien door Rigmaidens computer. Bovendien accepteerde de gemanipuleerde kaart gesprekken van de FBI, die op de achtergrond verliepen, waardoor de geheime dienst informatie over de locatie van de computer kreeg, maar ook het unieke ID-nummer en communicatiegegevens.
Om dat te kunnen doen had Verizon de kaart zo geprogrammeerd, dat als de FBI ‘belde’ het contact met een reguliere open webaansluiting werd verbroken, waarna de informatie werd verzonden naar Verizon, die die weer doorspeelde naar de FBl. Die kon dan in de buurt van de plaats waar de verdachte zich ophield een nepmast inrichten (in feite een simulator), die de communicatie van de legale aansluiting ‘stal’.
Om er voor te zorgen dat de wifi-kaart de nepmast accepteerde was die kaart zo aangepast dat de nepmast voor echt werd versleten.
De informatie van Rigmaiden in zijn 369 pagina’s tellende rapport, kwam, onder meer, van de Amerikaanse overheid. Die stond oorspronkelijk op het standpunt dat voor een dergelijke onderzoeksmethode geen vergunning van de rechter nodig was, omdat geen gespreksinhoud of teksten konden worden onderschept met deze techniek, maar schijnt in dit geval toch een handtekening bij een rechter gehaald te hebben, omdat Rigmaiden tot in zijn huis werd ‘achtervolgd’.
Amerikaanse burgerorganisaties zijn niet blij met de trapatsen van de FBI en vooral Verizon. “Het toont alleen maar hoe gek de technologie is en dat er heel wat aan de rechter uit te leggen valt”, zegt Hanni Fakhoury van Electronic Frontier Foundation in webblad Wire. “Dit is meer dan tegen Verizon zeggen “Geef ons wat belgegevens. Hier gaat het om het manipuleren van de eigendommen van een verdachte zonder de rechter te vertellen wat er aan de hand is.”
Bron: Wire

Amerikaanse Congres-leden halen ‘loervoorstel’ van stal

Geplaatst op door
Beantwoorden

Twee leden van het Amerikaanse Huis van Afgevaardigden, de Democraat Dutch Ruppersberger en de Republikein Mike Rogers, stellen pogingen in het werk een gesneefd wetsvoorstel over het inzien van internetgegevens weer op de rol te krijgen, zo meldt De Volkskrant. Als het voorstel wet wordt, kunnen de overheid en bedrijfsleven probleemloos gegevens uitwisselen, waarbij de bedreiging van de webveiligheid het alibi zou moeten zijn. Eerder strandde het voorstel omdat de beoogde wet te veel een bedreiging zou zijn voor de privésfeer van internetgebruikers.
Het tweetal doet weer een poging omdat de laatste tijd veel Amerikaanse bedrijven en overheidsinstanties het slachtoffer zijn geworden van massale cyberaanvallen. Bij die aanvallen zou ook het Chinese leger een rol gespeeld hebben.
Tegenstanders van de wet merkten vorig jaar op dat gegevens over het internetverkeer van Amerikaanse staatsburgers na invoering van de nieuwe wet eenvoudig toegankelijk zouden worden voor inlichtingendiensten als de FBI en de nationale beveiligingsdienst NSA. De Amerikaanse overheid heeft al een grote greep op de informatiestromen op het web in, onder meer, de bankwereld.
Bron: De Volkskrant

Webkrakers hyperactief

Geplaatst op door
Beantwoorden

Of ze vervelen zich de klere of er is wat anders aan de hand (alleen is dan onduidelijk wát): de aanval op Nederland is geopend, op cyber-Nederland. Nadat afgelopen week enkele banken, met als grootste slachtoffer de ING-bank, is getroffen door massa-aanvallen van webkrakers, lijkt nu De Telegraaf het slachtoffer te zijn van hackers, zo meldt het Parool. De Telegraaf was afgelopen zaterdag twee uur niet bereikbaar en heeft aangifte gedaan bij de politie. Overigens zouden de maaatregelen die de ING heeft getroffen tegen massaaanvallen succesvol zijn. Nieuwe aanvallen op de ING-stek zouden binnen 20 minuten (in plaats van uren voor eerdere aanvallen) zijn verholpen, zo meldt Trouw op 10 april j.l.
Massa-aanval op Nederlandse bankenOndertussen bericht dezelfde krant dat Belgische banken veel beter beschermd zouden zijn tegen cyberaanvallen dan de Nederlandse. Volgens de Belgische beveiligingsdeskundige Eddy Willems hebben in België de banken de informatie op verschillende servers gezet, waardoor een massawebaanval iets makkelijker te pareren is. Helemaal voorkomen kun je het niet, aldus de webdeskundige, omdat dat niet alleen afhangt van de infrastructuur en aanwezige beveiligingsfilters. “Het lijkt erop dat de aanval bij ING vooral werd veroorzaakt doordat heel veel machines op het zelfde moment inlogden op het internetbankieren-systeem. Daartegen kun je je echt heel moeilijk beveiligen.”, zei Willems in Het Parool. Toch loopt België wat Willems betreft wel voor op het gebied van internetbeveiliging. De kaartlezer die bij veel banken gebruikt moet worden bij internetbankieren is er al veel langer dan in Nederland en, volgens hem, daar ook net iets geavanceerder. De fraudecijfers met internetbankieren liggen er veel lager dan in Nederland: € 3 miljoen euro voor België tegen bijna € 35 miljoen in Nederland, aldus het Parool. Overigens moet hier wel bij worden opgemerkt dat de Belgische banken veel kleiner zijn dan de Nederlandse en dus minder aantrekkelijk voor webkrakers.

Bron: Parool; foto Parool

Ruzie om uitsluiting leidt tot gigantische cyberaanval

Geplaatst op door
Beantwoorden

Het lijkt er op dat een ruzie tussen Spamhaus, een bedrijf dat zooi filtert uit het e-mailverkeer, en de in Nederland gevestigde internetaanbieder Cyberbunker heeft geleid tot wat een van de grootste, zo niet de grootste webaanval is in de geschiedenis van het wereldwijde web. Volgens Le Monde heeft een woordvoerder van de Nederlandse webaanbieder, Sven Olaf Kamphuis, gezegd dat Spamhaus zijn positie heeft misbruikt door zijn bedrijf op de zwarte lijst te zetten. Overigens zal uit later berichtgeving in Futura-Sciences Cyberaanval blijken, dat dat massieve van de aanval aanvankelijk sterk is overdreven. Vele ‘internauten’ hebben de ‘enorme’ vertraging van het wereldwijde web nauwelijks of niet gemerkt.
Hoe het ook zij, volgens de BBC had de aanval, een databombardement, een ‘kracht’ van 900 gigabit per seconde, genoeg om de meeste webservers volledig plat te leggen. Spamhaus zegt de aanval met succes te hebben afgeslagen. De massale aanval zou hebben geleid tot een over de hele wereld trager web, maar volgens de Volkskrant heeft de grootscheepse aanval van Cyberbunker alleen gevolgen gehad voor de snelheid van het Nederlandse deel van het web. Cyberbunker, volgens Le Monde een paradijs voor cyberboeven, is zijn weboorlog op 19 maart begonnen. Momenteel is de eigen webstek nog steeds onbereikbaar.

Bron: Foto Le Monde

De bril van Google

Geplaatst op door
Beantwoorden

Er gaat een rilling door het drukbezochte restaurant, vol met, vooral, jonge, modieus geklede mensen. Er komt iemand met een raar soort bril op zijn haakneus binnen. Of bril, eigenlijk is het een soort loos montuur. Zelf ziet hij er ook een beetje als een sukkel uit met kleren die volslagen uit de mode zijn en hij loopt als een zonderling steeds in zichzelf te mompelen.
Het is echter niet zo maar een bril en de drager is minder een sukkel dan ie lijkt. Het is dé Bril (met een hoofdletter). Al jaren heeft Google de technomafferiken (en dat zijn toch de meeste jonge mensen) euforisch gemaakt met die Bril. Weg met het gestuntel met onhandige debieltjes, die om onbegrijpelijke redenen slim werden genoemd. Dit is een apparaat waar ik altijd alles bij de hand heb, niet geprojecteerd op een lullig schermpje van een paar centimeter, maar in mijn blikveld. Ik hoef me nooit meer af te vragen wie daar nu weer voor me staat of wat ik nu weer gemist heb. Elke bericht kan onmiddellijk getoond worden. Ik kan het hele wereldwijde web in één keer in mijn eigen analoge blikveld krijgen.
De rilling van de bezoekers van dat restaurant kan ook een andere oorzaak hebben. Met de Bril kun je ook ongemerkt filmpjes opnemen. Gecombineerd met beeldherkenning en het koppenbestand van Google via, bijvoorbeeld, Picasa, weet de brildrager razendsnel wie er in het restaurant zit. Misschien ook waar die werkt en woont en wat zijn, heel ouderwets, mobiele nummer is. Mag iedereen dat weten? We hebben toch niks te verbergen? Dat is een grap. Veel mensen realiseren niet hoe veel ze te verbergen hebben.
Mark Hurst, oprichter van privacywaakhond Creative Good, heeft daar eens zijn gedachten over laten gaan. In nrc.next stond een bewerkte weergave van die overpeinzingen. De Bril
De belangrijkste ervaringsvraag met de Bril is niet hoe het is om die op te hebben, vindt Hurst, maar hoe het is om bij iemand in de buurt te zijn die de Bril op heeft. Wat is die aan het doen? Met wie deelt hij/zij die gegevens? Spooky, zou Dame Edna zeggen. Wat Glass zo uniek maakt, zegt Hurst, is dat het een Google-project is. Google heeft het vermogen om de Bril te combineren met zijn andere technologieën, met zijn wolk, met de id-databank van Google Plus. Mark Zuckerberg van Facebook (ook Google) heeft al aangekondigd apps voor de Bril te maken. Gecombineerd met een spraak-naar-tekst-programma zou je van een, via Google Plus geïdentificeerd, persoon een doorzoekbaar tekstbestand kunnen aanleggen. Ieder met een Bril kan dat doen. Dat zou je nog als ondersteuning van het eigen geheugen kunnen zien, maar zeer waarschijnlijk zal een deel hiervan in de wolk van Google terecht komen. Tel uit je winst.

Andere wereld
De wereld met de Bril zal een andere wereld zijn, stelt Hurst. Je zult niet weten of je wordt gefilmd of niet en zelfs als je het wel weet, kun je het niet tegenhouden. Nu al kan het wereldwijde web met zijn olifantengeheugen je een hoop last bezorgen bij sollicitaties, maar dat is nog niets vergeleken bij wat ons, volgens Hurst, te wachten staat. “Als iemand wil weten of je ooit iets beledigends of bedreigends hebt gezegd, dan is één enkele zoekopdracht binnen Googles wolk voldoende om onmiddellijk alle documentatie tevoorschijn te toveren over ieder woord dat je ooit hebt uitgesproken binnen gehoorsafstand van een Bril (vooropgesteld, natuurlijk, dat die gegevens op het web gegooid zijn). Daar zouden we eens over moeten nadenken, vindt hij, maar we hijgen we bijna blind achter alle nieuwe snufjes aan. Bij die bril blijft het niet…
De Amerikaanse staat West-Virginia is van plan de Bril in de ban te doen. Dat heeft niet zo veel met de aantasting van de privesfeer van mensen te maken, maar met de veiligheid. Eerder werden de debieltjes in de ban gedaan om die reden.
Filmpje van Google
Bron: Bits of Freedom

CIA gaat in bankafschriften Amerikanen loeren

Geplaatst op door
Beantwoorden

Het hoofdkantoor van de CIAHet hoofdkantoor van de CIA in Langley (Virginia)

Als het aan president Obama ligt krijgen de Amerikaanse veiligheidsdiensten de mogelijkheid om in de (elektronische) bankafschriften van de Amerikanen te grasduinen. Financiële instellingen in Amerika zijn al verplicht verdachte financiële handelingen te melden aan de overheid. De gegevens worden opgeslagen in een enorme databank van de Amerikaanse overheid: FinCen. Dan gaat het over het overmaken van grote bedragen, stortingen van meer dan 10 000 dollar en ‘ongebruikelijke’ rekeningen. We praten we dan over jaarlijks zo’n 15 miljoen handelingen. Als Obama zijn zin krijgt, wordt de databank gekoppeld aan het Joint Worldwide Intelligence Communications System waarin Amerikaanse defensie- en justitieinstellingen gevoelige informatie verzamelen. Dit alles staat in het teken van de bestrijding van het terrorisme, oftewel hoe een open en democratische samenleving afglijdt naar een Big-Brotherstaat.
Bron: Wire

De app-dief bespiedt

Geplaatst op door
Beantwoorden

Een onderzoeksgroep van het instituut voor gegevensbeveiliging van de universiteit van Luxemburg, SNT, heeft samen met onderzoekers van de staatsuniversiteit van Pennsylvania en de TU Darmstadt een onderzoeksprijs van Google in de wacht gesleept ter grootte van $ 50 000. De onderzoekers kregen de prijs voor de ontwikkeling van een digitale spion die verraadt welke gegevens apps op mobiele telefoons gebruiken. Uiteraard gaat het dan om Android-telefoons, het eigen huismerk van Google. Het systeem geeft een gedetailleerd beeld van de communicatie van apps. Op die wijze kan de gebruiker zien of een app zich netjes gedraagt of dat die gegevens ‘kaapt’ die hij niet mag gebruiken, bijvoorbeeld door die via een andere app te benaderen. Zo zou een app die geen toegang heeft tot plaatsgegevens, die toch kunnen ophalen via een weerapp. Maandelijks komen er zo’n 10 000 apps voor Android-telefoons beschikbaar en niet al die aanbieders hebben, min of meer, eerzame bedoelingen met hun telprogjes.