vrijdag 12 oktober 2018

Ze weten alles van je


De komende tijd zal de Security (b)log eens per twee weken 
verschijnen omdat andere werkzaamheden meer tijd vragen.

Tijdens de onlangs in Den Haag gehouden One Conference werd één zin uitgesproken die net zo kort als krachtig is: “Surveillance comes for free” (Hans de Zwart, directeur van Bits of Freedom). Nou wil het woordenboek dat Engelse  woord surveillance vertalen in ‘bewaking’ of het Nederlands/Franse surveillance… Daar schiet ik niet zoveel mee op als ik de kracht van dat zinnetje wil uitleggen. De Dikke Van Dale voegt er nog het woord ‘toezicht’ aan toe. Daarmee naderen we de kern van de zaak. In een Duitse blog zou trouwens het woord Überwachung niet misstaan; voor mijn gevoel past dat nog beter dan toezicht.

Waar het om gaat is dit: je wordt in de gaten gehouden. En niet zo’n beetje ook. Dat begint bij de cookies die je doorgaans achteloos accepteert en het eindigt bij… Ja, bij wat eigenlijk? Het woord toezicht wijst al snel richting overheden en hun opsporingsinstanties. De grap gaat dat je bij de NSA een back-up kunt opvragen als je je gegevens kwijt bent. Maar jij en ik worden waarschijnlijk niet door de NSA of de AIVD in de gaten gehouden, maar de surveillance party wordt ook uitbundig buiten de overheid gevierd.

Lees je wel eens de gebruiksvoorwaarden van social media? Nee hè? Als je dat wel doet, dan krijg je het gevoel dat je je ziel aan de duivel verkoopt als je ermee akkoord gaat. En dat weten ze dan ook nog zo te presenteren dat je gelooft dat ze het allemaal voor jou doen. Ik geef een paar voorbeelden.

Instagram schrijft: “Mensen zijn verschillend. We willen je relaties versterken door gedeelde ervaringen waar je echt om geeft. Daarom bouwen we systemen die proberen te begrijpen wie en wat jij en anderen belangrijk vinden en die informatie gebruiken om je te helpen bij het creëren, vinden, stimuleren en delen van ervaringen die belangrijk voor je zijn. Onderdeel daarvan is het uitlichten van inhoud, functies, aanbiedingen en accounts waarin je mogelijk geïnteresseerd bent.” Hier staat in feite: wij zijn een reclamebedrijf en hoe gerichter we jou met reclame kunnen bestoken, hoe hoger de prijs die we daarvoor in rekening kunnen brengen aan de adverteerder, en daarom willen we zoveel mogelijk van jou weten. Facebook heeft een soortgelijke tekst. Want Instagram is van Facebook.

Snapchat heeft twee verschillende setjes servicevoorwaarden: eentje voor inwoners van de VS en eentje voor de rest van de wereld. In de onze staat: “In veel van onze Diensten kun je inhoud genereren, uploaden, plaatsen, inzenden, ontvangen en opslaan. Wanneer je dat doet, blijven alle eigendomsrechten met betrekking tot de inhoud die jou toebehoren van jou. Maar jij geeft ons toestemming om die inhoud te gebruiken. Hoe ruim die toestemming is, is afhankelijk van de Diensten die je gebruikt en de instellingen die je hebt geselecteerd.” Verderop gaan ze nader in op die toestemming en daar vliegen je termen als eeuwigdurend, royaltyvrij en wereldwijd om de oren. Het komt allemaal neer op: we mogen alles met jouw content doen zonder dat jij daar invloed op hebt. En natuurlijk is ook Snap een advertentiebedrijf: “De Diensten kunnen advertenties bevatten. Als tegenprestatie voor het feit dat Snap Group Limited jou toegang verleent tot en je gebruik laat maken van de Diensten stem je ermee in dat wij, Snap Inc., onze zusterbedrijven en onze externe partners advertenties in de Diensten plaatsen, waaronder gepersonaliseerde reclame op basis van informatie die je ons verstrekt of die wij over jou verzamelen of krijgen. Omdat de Diensten inhoud bevatten die jij en andere gebruikers ons verstrekken, kunnen er soms advertenties bij, tussen, over of in jouw inhoud verschijnen.” Leuk geformuleerd hè: als tegenprestatie. En als je erover nadenkt, dan klopt dat ook: jij wilt graag gratis gebruikmaken van Snapchat maar dan moet je die reclame op de koop toe nemen.

Het toezicht zit ‘m erin dat dergelijke bedrijven veel van je willen weten (om veel geld aan hun gerichte advertenties te verdienen). We halen onze schouders daarover op omdat we maar al te graag gebruikmaken van de geboden diensten. Dat toezicht krijg je er gratis bij, zegt Bits of Freedom, maar als ik de gebruiksvoorwaarden lees, dan ben ik eerder geneigd om het zinnetje om te draaien: je abonneert je in feite op toezicht en krijgt daar gratis een leuke app bij. Bits of Freedom is overigens “dé Nederlandse beweging die opkomt voor jouw internetvrijheid”.

Wat kun je doen tegen al dat geweld? Weinig, vrees ik. Ja, je kunt de privacy-instellingen zo strak mogelijk instellen. Daar valt voor de meeste gebruikers wel het een en ander te winnen. Doen dus. Maar de basiszaken, zoals die in de gebruiksvoorwaarden staan, daar kun je alleen omheen door zo’n dienst niet te gebruiken. En dan nog: Facebook profileert ook niet-gebruikers – via hun vrienden en kennissen. Wen er dus maar aan: ze weten alles van je.

Kijktip Maandag 15 oktober, 20.25 uur, NPO3: De Privacytest

En in de grote boze buitenwereld …


... kun je de antwoorden op ‘geheime vragen’ ook in een password manager opslaan. En vergeet niet om te liegen!

... konden hackers de WhatsApp-app overnemen zodra je een video-oproep beantwoordde.

... berichtte het zakenblad Bloomberg Businessweek over een ieniemienie-chip die de de Chinezen op moederborden voor servers zouden hebben geplaatst om Amerikaanse bedrijven te bespioneren.

... ontkennen Apple en Amazon, twee bedrijven waar de besmette moederborden zouden zijn terechtgekomen, de onregelmatigheden in alle toonaarden.

... krijgen die bedrijven steun van belangrijke inlichtingendiensten.

... kwam Bloomberg vervolgens met nieuw bewijs. En deze keer noemden ze hun bron met naam en toenaam.

... kun je binnenkort een spionage-apparaat van Facebook kopen. Leuk voor in je keuken of zo.

... heeft India 24 ‘Microsoft Tech Support’-scammers opgepakt.

... willen nogal wat (Amerikaanse) informatiebeveiligers een andere baan.

... moet luchthaven Heathrow een flinke boete betalen voor een datalek.

... krijgen veel Android-apps geen toegang meer tot de bel- en sms-functies van je telefoon.

... maakt Google na een ernstig datalek een eind aan de consumentenversie van het sociale netwerk Google+.

... beschermen veel mensen hun smartphone niet goed.

... schetst dit artikel wat er allemaal zou kunnen gebeuren als het internet uitvalt.

... zijn electronicabedrijven in Californië over twee jaar verplicht om elk IoT-apparaat te voorzien van een sterk, uniek wachtwoord.

... geeft deze infographic inzicht in wat er allemaal mis kan gaan met IoT-devices en wat je kunt doen om je te (enigszins) beschermen.

... laat een Windows 10-update bestanden verdwijnen.

... moet je apps met bepaalde kenmerken nooit downloaden.


vrijdag 5 oktober 2018

Allemaal sterke schakels


“Je wilt tijdens de pauze van een bijeenkomst in een conferentiecentrum je e-mails beantwoorden. Maak je gebruik van hun openbare wifi-netwerk?” Dit staat op één van de kaartjes van het spel Allemaal Veilig Digitaal dat we gelanceerd hebben in het kader van de gelijknamige awareness-campagne. Awareness? Je hoort informatiebeveiligers wel vaker praten over wat we in goed Nederlands bewustwording (eigenlijk: bewustzijn) noemen, nietwaar? Ik heb het op deze plek al eens eerder gezegd: zolang de techniek niet in staat is om ons volledig te beschermen tegen alle kwade cyberinvloeden, zijn wij – de gebruikers – tegen wil en dank een belangrijke schakel in de keten. Dat is de reden waarom we van tijd tot tijd een awareness-campagne voeren en we ons liefst permanent tot de gebruiker richten (al is het maar met een wekelijkse blog).

Het doel van het spel, dat overigens slechts één van de onderdelen van de campagne vormt, is dat medewerkers met elkaar in gesprek gaan. Er zijn geen goede en foute antwoorden. Neem nou het voorbeeld uit de openingszin. Als je zegt: “Nee, ik maak geen gebruik van openbare wifi-netwerken”, dan is dat een prima uitgangspunt. Als je namelijk geen maatregelen treft, dan kunnen “ze” alles zien wat je doet – sites die je bezoekt, je e-mail enzovoorts.

Met onze zakelijke laptops kun je echter wél veilig gebruikmaken van openbare wifi-netwerken. De verbinding naar kantoor – en daarmee ook je internetverbinding – is namelijk goed beveiligd. Door versleuteling van alles wat over de lijn gaat, kan niemand je afluisteren. Voor mobiele apparaten (smartphones en tablets) geldt deze bescherming alleen voor de door de door de werkgever verstrekte apps, omdat die onder ons mobile device management vallen.

Tegenwoordig mag je bij ons ook gebruikmaken van een hotspot op je smartphone om een verbinding voor je laptop te maken. Daarmee heb je altijd je eigen wifi-netwerk op zak. Zodra de laptop verbonden is met je hotspot, maak je gebruik van de veilige mobiele dataverbinding van je telefoon. Deze werkwijze geniet (om technische redenen) vooral de voorkeur boven openbare netwerken die met een captive portal werken. Je herkent zo’n netwerk eraan dat je via een webpagina moet inloggen of op z’n minst akkoord moet geven, zoals in de trein of in hotels.

Onze organisatie beschikt over nogal wat gevoelige gegevens. Met de komst van de Algemene Verordening Gegevensbescherming (AVG) moeten we aan nóg strengere regels voldoen. Die wetgeving is best ingewikkeld – ik volg momenteel een privacy-cursus die over acht middagen is uitgesmeerd en daarnaast nog de nodige uren aan huiswerk vergt. Maar zoals bij zoveel wetten is er een eenvoudig hulpmiddel: je gezond verstand. De meeste mensen in onze samenleving hebben een aardige antenne voor wat wel en niet goed is. Bij sommige mensen moet je die antenne wel eerst uitschuiven, en dat is precies wat we doen als we met awareness bezig zijn. Soms moet de antenne ook nog wat beter gericht worden. Zo wordt met name de AVG nog wel eens onterecht gebruikt als argument om bepaalde dingen niet te doen, terwijl de wet je in werkelijkheid geen strobreed in de weg legt of hooguit bepaalde voorwaarden stelt.

Vanwege al die uitgeschoven en gelijkgerichte antennes durven we de wat tegendraadse stelling aan dat de mens een sterke schakel is in de cybersecurityketen. We máken de mens een sterke schakel. Dat dit werkt, merk ik bijvoorbeeld op het terrein van phishing. Collega’s zijn keurig achterdochtig en vragen, soms nog wat aarzelend: “Dit mailtje, dat klopt toch niet hè?” En dan is het helemaal niet erg als daar ook eens een keer een mailtje bij zit waarmee niets mis is. Ook daar leer je van.

Soms roest een ketting een beetje. We blijven dan vasthangen in oude gewoontes. Zo was het tijdens de opkomst van het thuiswerken gebruikelijk om dat met je eigen computer te doen. En ja, dan mailde je ook wel eens wat bestanden naar en van je privéadres. Dat doen we nu dus niet meer. Iedereen heeft een laptop en als je een dag thuis wilt werken, dan neem je die mee. Door die laptop is er geen noodzaak meer om bestanden te mailen en je privécomputer te gebruiken. Zodra je je dat realiseert, ben je weer een sterke schakel.

Zie de site van Alert Online (https://www.alertonline.nl) voor meer informatie over de campagne.

En in de grote boze buitenwereld …


... zal je niet ontgaan zijn dat de MIVD een stel Russen heeft betrapt op digitale spionage.

... heeft een onderzoeker een verbeterde aanval op WPA2, de meestgebruikte wifi-beveiliging, ontwikkeld. Mogelijk wilden de Russen ook gebruik maken van zwaktes in WPA2.

... zijn de Russen ook actief geweest in België.

... heet phishing-via-de-telefoon ook wel vishing (met de v van voice) en soms is dat volledig geautomatiseerd.

... maakt Facebook misbruik van gegevens die gebruikers voor beveiligingsdoeleinden hebben gegeven.

... is Facebook daarnaast ook nog gehackt. Ook het “ inloggen met Facebook” wordt daardoor geraakt.

... moet je het wachtwoord van je telefoon of laptop aan de grens afstaan aan de Nieuw-Zeelandse douane (als ze gegronde redenen hebben om je apparaten te onderzoeken). Niet meewerken kan je zo’n 2800 euro kosten, en ze nemen je toestel in beslag.

... zit er een foutje in het programma dat bedrijven gebruiken om Apple-apparatuur uit te rollen.

... pleit de minister van Justitie en Veiligheid voor het beter beveiligen van je digitale voordeur.

... roept de staatssecretaris van Economische Zaken informatiebeveiligers op om eens wat vaker door de bril van de gewone gebruiker te kijken.

... zijn in Nederland duizenden onveilige IoT-apparaten actief. Dat is trouwens niet vreemd, want er bestaan amper veilige IoT-devices.

... is deze tv een mooi voorbeeld van zo’n onveilig IoT-apparaat. En dan heb je in dit geval nog het geluk dat er een patch komt.

... moet je toch nog eens even overdenken of je die goedkope Chinese smartphone echt wilt hebben.