Security (b)log: oktober 2020

vrijdag 30 oktober 2020

Uit-aan

“Zet je computer maar eens uit en vervolgens weer aan.” Ik weet eigenlijk niet of helpdesks deze toverspreuk nog vaak uitspreken, maar er was in ieder geval een tijd waarin je die handeling maar beter uitvoerde vóórdat je ging bellen, omdat je toch al wist dat die mantra over je zou worden uitgesproken. Iets soortgelijks heb ik ooit in het groot uitgehaald. Toen ik lang geleden nog technisch ontwerper en COBOL-programmeur was, liep op een avond de batchrun (‘bulkverwerking’) van “mijn” programma op het mainframe vast. Eigenlijk had ik op dat moment naar kantoor moeten gaan om het probleem op de lossen, maar ik waagde de gok: “Start het programma maar eens opnieuw op en dan hoor ik het wel.” Nooit meer iets van gehoord. Ach ja, ik had het programma immers goed getest, daar kon het dus niet aan liggen. Als het verkeerd was afgelopen, dan hadden de volgende ochtend door het hele land mensen met de armen over elkaar gezeten.

Dat uit-en-weer-aanzetten klinkt misschien wat knullig, maar toch is het niet verkeerd. Zie het als het opschudden van je kussen, dat daardoor weer heerlijk zacht wordt (tenminste, als er dons in zit). Het werkgeheugen (RAM) van de computer is vluchtig, wat betekent dat het alle data verliest als het wordt uitgeschakeld. Daardoor verdwijnt ook eventueel ‘aangeslibde’ rommel en is het geheugen weer fris en fruitig.

Dat geldt voor allerlei soorten computers, ook voor je mobiele devices (ja, ook je smartphone is ‘gewoon’ een computer – dat je er ook mee kunt bellen is tegenwoordig voor de meeste mensen bijzaak). Om met die laatste categorie te beginnen: er bestaan bepaalde kwetsbaarheden (programmafouten) die het mogelijk maken dat een kwaadwillende bestaande systeemsoftware vervangt door, eh, iets anders. En dat is dan natuurlijk iets waar de aanvaller baat bij heeft. Hij kan je toestel simpelweg laten doen waar hij zin in heeft. En aangezien hackers tegenwoordig vooral op geld en informatie uit zijn, kan een dergelijke aanval je geld kosten.

Toegegeven, een dergelijke aanval vereist vaak dat de aanvaller fysiek toegang heeft tot het ontgrendelde toestel, waardoor een dergelijke aanval vooral in het ‘hogere spectrum’ zal plaatsvinden, in de vorm van een gerichte aanval op een bepaalde persoon. Denk aan captains of industry, politici, opsporingsambtenaren – het soort gevallen waar in films een spannend muziekje en een tergend traag lopend voortgangsbalkje bij hoort. Er zijn echter ook aanvallen bekend waarbij dat fysieke contact met een ontgrendeld toestel niet nodig is, en dan komen jij en ik ook in beeld als potentieel slachtoffer. Overigens komt nogal eens de NFC-chip (onder andere gebruikt voor contactloos pinnen) in beeld als kwetsbaar onderdeel.

Soms is de remedie simpel: zet je toestel even uit. Als het daarna opnieuw opstart, dan wordt namelijk de originele systeemsoftware weer geladen – je hebt dan als het ware het kussen opgeschud. Maar laat ik hier gelijk een waarschuwing bij plaatsen: deze handeling is natuurlijk geen remedie voor alles. Een virus zal er heus niet door verdwijnen. Zie het meer als een altijd goed-actie. Doorgaans weet je niet of je toestel gemanipuleerd is, maar áls het zo is, dan kan een herstart heilzaam werken.

Ook ‘gewone’ computers, zoals je laptop, hebben er baat bij om aan het einde van de dag uitgezet te worden. Uit intern onderzoek blijkt dat zo’n acht procent van onze laptops niet dagelijks wordt uitgezet – en sommige daarvan zo’n beetje nooit. Dat is om diverse redenen jammer. Denk alleen al aan het stroomverbruik. Een niet-uitgeschakelde laptop zal na verloop van tijd weliswaar in de slaapstand gaan, maar hij heeft dan toch nog stroom nodig om het werkgeheugen ‘levend’ te houden. Verder is de brandweer er geen voorstander van om apparatuur uit het zicht continu aan de oplader te laten liggen. En de volgende ochtend, als je weer aan het werk wilt, kun je wel eens verbindingsproblemen ondervinden doordat je laptop denkt dat de VPN-verbinding nog intact is, terwijl de andere kant daar een eind aan heeft gemaakt. Moderne computers starten lekker snel op, dus tijdwinst is amper nog een reden om ze niet uit te schakelen. Zet ‘m dus aan het einde van de werkdag maar gewoon uit.

Je telefoon iedere dag herstarten gaat misschien wat ver in de huidige always on-maatschappij, maar wat dacht je van eens per maand? Dat moet toch wel kunnen? Er zijn wel meer dingen in huis die met een soortgelijke frequentie moeten gebeuren; daar zou je dit aan kunnen koppelen. Zo krijgt bij ons de vaatwasser een schoonmaakbeurt in de week waarin de groene container wordt geleegd. Dan kunnen de telefoon en de tablet ook wel even uit.

En in de grote boze buitenwereld …

vrijdag 16 oktober 2020

Wachtwoorden bewaren

Pff, ik gebruik op m’n werk nogal wat wachtwoorden. Als ik er daar eentje van vergeet, dan kan ik niet meer werken en moet ik door een moeilijke procedure heen om dat wachtwoord te resetten. Weet je wat? Ik mail een lijstje met al mijn wachtwoorden naar huis. Mocht het dan een keertje misgaan, dan hoef ik alleen even in mijn privémail te kijken en kan ik meteen weer door. Lekker handig!

Het bovenstaande is niet mijn gedachtegang, maar, getuige een recent geval, wel die van sommige mensen. Zoals zo vaak met de beste bedoelingen. Ik kan het er, als informatiebeveiliger, toch niet mee oneens zijn dat iemand de continuïteit van zijn werkzaamheden veiligstelt? Nee, dat laatste is inderdaad een prima initiatief, alleen valt er wel wat af te dingen op de manier waarop sommige mensen daar invulling aan geven. Ik zal je uitleggen waarom de werkwijze uit de eerste alinea géén goed idee is. En natuurlijk wat je in plaats daarvan wél kunt doen.

Eerst maar even afrekenen met de stelling dat het resetten van je wachtwoord moeilijk zou zijn. Omdat wachtwoordresets een aanzienlijke aanslag op de capaciteit van een helpdesk plegen, verzinnen organisaties daar slimme doe-het-zelf-oplossingen voor. Je doet er goed aan om bij jouw eigen organisatie na te gaan wat hiervoor beschikbaar is. En voor privéwachtwoorden geldt dat die in de meeste gevallen eenvoudig te herstellen zijn via de link ‘ik heb mijn wachtwoord vergeten’.

Dan terug naar de eigenlijke kwestie: wachtwoorden mailen is niet oké. Een wachtwoord is een best wel belangrijk ding, dat je toegang geeft tot systemen en gegevens. Zou je de sleutel van je voordeur op een briefkaart willen plakken en per post ergens heen sturen, onder vermelding van het afzenderadres? Dat is namelijk precies wat je doet door wachtwoorden te mailen – ook al vermeld je de bijbehorende accountnaam er niet bij, want dat is geen geheim gegeven en dus te achterhalen, of het nou om een zakelijk user-id gaat of om het e-mailadres waarmee je bij een webshop inlogt.

We beschouwen te beschermen gegevens niet alleen als ze onderweg zijn (het verzenden per mail), maar ook als ze op de bestemming zijn aangekomen (de opslag ervan). Een per e-mail verzonden wachtwoord woont dan op de mailserver van je provider, in de mailfile op je computer en in je mobiel en misschien ook nog ergens op je harde schijf (we zien wel vaker dat wachtwoorden in een Excel-bestand worden gemaild, dat thuis waarschijnlijk in de map ‘Wachtwoorden’ wordt opgeslagen). Al deze plekken zijn er niet voor gemaakt om wachtwoorden te herbergen, omdat iedereen die toegang tot die opslaglocaties heeft, daarmee ook toegang tot je wachtwoordlijstje heeft.

Maar ik kan dat Excel-bestand toch versleutelen door er een wachtwoord op te zetten?, hoor ik je denken. Ja, dat kan, maar ons mailsysteem staat het extern mailen van versleutelde bestanden niet toe (omdat het dan niet kan worden gecontroleerd op bijvoorbeeld virussen). Ik hoop dat je dat niet als tip opvat – wat ik hier zeg is: een wachtwoordlijstje versleuteld mailen kán niet, maar onversleuteld mailen mág niet. Doe je dat wel, dan geef je kwaadwillenden in potentie de sleutel tot ons datacenter, of in ieder geval tot het gedeelte van de informatie waar jij bij kunt. En omdat hackers erg goed zijn in het verwerven van steeds hogere rechten, kan het mailen van wachtwoorden ernstigere gevolgen hebben dan je op het eerste gezicht zou vermoeden.

Maar hoe kun je er dan wél voor zorgen dat je geen wachtwoorden kwijtraakt? Het antwoord daarop heeft verschillende namen: wachtwoordkluis, password manager, password vault – allemaal benamingen voor toepassingen die voor één doel ontworpen zijn: het veilig opbergen van wachtwoorden en ze alleen aan de rechtmatige eigenaar ter beschikking stellen als die erom vraagt. Voor je computer thuis en voor je mobiel kun je kiezen uit tal van producten die, als het even meezit, met elkaar samenwerken: een op je mobiel ingevoerd wachtwoord is dan ook op je computer beschikbaar – en andersom. In mijn ervaring mogen die programma’s nog wel wat doen aan hun gebruikersvriendelijkheid; het gebruik is niet altijd even intuïtief. De meeste password managers hebben nog een belangrijke functie: ze kunnen veel betere wachtwoorden bedenken dan jij en ik. En omdat je die toch niet zelf hoeft te onthouden en in te vullen, mogen ze lekker lang en ingewikkeld zijn (waarbij vooral de lengte er toe doet).

Browsers zoals Chrome, Firefox en Safari bieden ook aan om je wachtwoorden op te slaan als ze zien dat je ergens inlogt. Maar die zijn nog niet zo goed als password managers, die speciaal voor dit doel gebouwd zijn, zo valt uit diverse artikelen hierover op te maken. En omdat ‘goed’ in deze context al gauw over veiligheid gaat, blijf je voorlopig beter nog even weg bij die ingebouwde wachtwoordkluizen.

En in de grote boze buitenwereld …

vrijdag 9 oktober 2020

Roodkapje

“Zeg kind, waarom draag jij eigenlijk altijd dat malle kapje?”
“Wel grootmoeder, ter bescherming tegen de grote boze wolf!”
“Maar meisje, dat werkt toch helemaal niet.”
“Echt wel oma, mijn vriendinnen in het bos hiernaast lopen al met rode kapjes sinds de wolven kwamen en daar hebben ze veel minder last van die enge beesten.”
“Maar kind, de boswachter zei in de Fabeltjeskrant dat zo’n kapje niet werkt. De wolf kan maar matig kleuren onderscheiden, stond er, dus die laat zich echt niet afschrikken door zo’n felrood ding op je hoofd.”
“Ach grootmoeder, het lijkt wel alsof die boswachter gewoon niet wil toegeven dat zo’n kapje misschien toch wel een beetje werkt. Weet je, als het er ook maar voor zorgt dat één lief klein meisje minder door de grote boze wolf wordt verslonden, dan vind ik het al de moeite waard. En dan hebben we het er volgend jaar wel eens over of het echt maar een fabeltje was.”
“Nou Roodkapje, zal ik dan maar een extra mutsje voor je naaien? Welke kleur wil je?”

In dit verhaaltje wijzigde grootmoeder haar standpunt van ‘zinloos’ naar ‘baat het niet, dan schaadt het niet’. Maar het is lang niet altijd gemakkelijk om zo’n switch te maken, zeker als je je eerdere standpunt lange tijd te vuur en te zwaard hebt verdedigd. Bill Burr kan daarover meepraten. Hij bedacht in 2003 dat goede wachtwoorden een mix van hoofdletters, kleine letters, cijfers en speciale karakters moesten zijn, en dat ze regelmatig moeten worden gewijzigd. En omdat Burr voor het Amerikaanse standaardisatie-instituut NIST werkte, werden zijn ideeën breed geadopteerd. Niet alleen binnen de Amerikaanse overheid, maar wereldwijd.

Zo’n vijftien jaar later kreeg Burr spijt. Inmiddels was uit onderzoek gebleken dat mensen slecht zijn in het bedenken en onthouden van onvoorspelbare wachtwoorden (die onvoorspelbaarheid was het doel van de complexiteitsregels) en dat ze daardoor in vaste – en dus voorstelbare – patronen vervielen. Lengte maakt wachtwoorden sterk, en niet zo’n malle mix. Daarnaast zag hij in dat het regelmatig wijzigen van wachtwoorden averechts werkt, omdat dat eveneens het hanteren van patronen bevordert. Nou was Bills baas de kwaadste niet, en zo kon het gebeuren dat begin dit jaar, een kleine drie jaar na Burrs spijtbetuiging, een nieuwe serie NIST Special Publications verscheen (SP 800-63), waarin juist wordt afgeraden om complexiteitsregels en regelmatige vervanging voor te schrijven.

Nu de rest van de wereld nog. Op het werk en bij mijn bank worden nog steeds de oude regels gevolgd. Er lijkt een zekere vrees te zijn om ze los te laten. Vaak is er sprake van onbekendheid. Als een webwinkel bij het aanmaken van een account tegelijkertijd om een complex vraagt en de lengte daarvan sterk aan banden legt, dan zijn die nieuwe inzichten daar duidelijk nog niet doorgedrongen. Zeker voor mensen die een password manager gebruiken maakt het niet uit als een wachtwoord vijftig tekens lang is – ze hoeven het toch niet zelf te onthouden.

Begin jaren negentig kon ik op het werk nog alle programma opstarten die ik maar wilde (vanaf een floppy…). Daarna deed de Dichtgetimmerde Desktopcomputer zijn intrede: de baas bepaalde welk gereedschap je kon gebruiken. Dat is nog steeds zo; alleen is de desktop vervangen door een laptop. Maar er komt beweging in de zaak. Gebruikers zijn veel mondiger en veeleisender geworden en in de techniek is ook vooruitgang geboekt. One size fits all is niet meer van deze tijd en ook niet meer noodzakelijk om onze gegevens te beveiligen (daar was het immers allemaal om te doen – laten we dat vooral niet uit het oog verliezen). Over een poosje kies je zelf waar je op wilt werken en dan is dat apparaat zo ingericht dat er een strikte scheiding is tussen zakelijk en privé. In het privédeel kun je je gang gaan zonder dat dat het zakelijke deel beïnvloedt.

Ook bij het gebruik van de cloud is een voorzichtige kentering zichtbaar. Informatiebeveiligers vinden de cloud meestal levensgevaarlijk: je gegevens staan op de computer van iemand anders! Dat ís ook eng, maar je kunt je moeilijk aan dat standpunt blijven vastklampen als de hele wereld de cloud omarmt en veel moderne toepassingen alleen in de cloud bestaan. Je zult dan moeten shiften van ‘doen we niet’ naar ‘hoe kan het veilig?’ Om dat te onderzoeken gaan we een proef doen. Hoe werkt het, hoe bescherm ik mijn gegevens, wat komt er allemaal bij kijken? En dat doen we zónder echte gegevens. Kleine stapjes geven meer vertrouwen dan een grote sprong.

Als de grootmoeder van Roodkapje haar standpunt kan herzien, dan kunnen wij dat ook. Nu de boswachter nog.

En in de grote boze buitenwereld …

vrijdag 2 oktober 2020

Ja, jij ook

In het rapport Trends in veiligheid 2020 van Capgemini las ik dat 43% van de Nederlanders aangeeft dat ze in de afgelopen twaalf maanden geen slachtoffer van cybercriminaliteit zijn geweest. Ik moest meteen denken aan een wijsheid die al jaren de ronde doet onder informatiebeveiligers. Er zijn twee soorten bedrijven: bedrijven, die al eens gehackt zijn, en bedrijven, die niet weten dat ze al eens gehackt zijn. Ik denk dat je deze stelling ook op individuele burgers kunt toepassen, als je ‘gehackt’ vervangt door ‘in aanraking met cybercrime geweest zijn’.

Ik had in dat rapport graag een definitie van ‘slachtoffer’ gelezen. Ben je al slachtoffer als je spam ontvangt, of ben je pas slachtoffer als je in een phishingmail trapt of ransomware je computer gijzelt? Als ik presentaties geef, vraag ik soms wie er al eens in aanraking is geweest met cybercrime. Als dan niet iedereen de hand opsteekt, dan vraag ik aan de ontkenners of ze werkelijk nog nooit een phishingmailtje hebben ontvangen. En ik heb nog nooit meegemaakt dat die handen dan niet alsnog omhoog gaan. Ik houd de definitie van slachtoffer graag breed.

Zoals iedereen wel eens te maken krijgt met verkeershufters, zo krijgt ook iedereen wel eens te maken met cybercriminelen. En net zoals die wegpiraat het niet op jou persoonlijk heeft voorzien, zo heeft ook de computerboef het doorgaans niet op jou in het bijzonder voorzien – hij schiet gewoon met hagel en hoopt dat een paar van die kogeltjes iets raken, waarbij ‘iets raken’ betekent dat een potentieel slachtoffer toehapt, waardoor hij een écht slachtoffer wordt.

Mijn conclusie heb ik al in de titel verklapt: iedereen komt vroeg of laat in aanraking met computercriminaliteit en de meesten van ons hebben dat al eens meegemaakt. Dat geldt zelfs voor mensen die geen computer, tablet of smartphone hebben: hun gegevens kunnen gecompromitteerd worden door een hack of lek bij een instantie of een bedrijf waar ze mee te maken hebben. In het trendrapport staat dat ouderen (65+) oververtegenwoordigd zijn in de groep ontkenners. In die leeftijdsgroep zullen ook wel de digilozen oververtegenwoordigd zijn (ik weet ook wel dat veel ouderen enthousiaste gebruikers zijn, maar in vergelijking met andere leeftijdsgroepen zijn er ongetwijfeld relatief meer ouderen die geen behoefte hebben aan computerspullen). Ik snap wel dat mensen zonder computer zich veilig wanen, en het is sneu voor hen als het alsnog misgaat terwijl ze daar zelf niets tegen kunnen doen.

Wat kun jij doen om het tij te keren? Om te beginnen: besef dat je gisteren, vandaag en morgen in aanraking was, bent en zult zijn met cybercrime, net zoals je vrijwel dagelijks iemand rare fratsen in het verkeer ziet uithalen. Als je dat eenmaal beseft, dan kun je maatregelen treffen. Vraag je om te beginnen bij ieder mailtje, waarbij je eerste gedachte “Huh?” is, af of er inderdaad iets mis is met dat mailtje. Vreemde afzender, rare tekst in combinatie met een bekende afzender, doet het mailtje erg z’n best om je op een link te laten klikken of een bijlage te laten openen? Denk er dan goed over na wie je de wedstrijd wilt laten winnen: je nieuwsgierigheid of je bescherming. Als je twijfelt en wilt weten of dat mailtje echt van die afzender komt, dan kun je hem of haar bellen, appen of sms’en om dat te vragen. Gezond verstand is een goede raadgever.

En verder: gebruik een virusscanner en houd die up-to-date. In Windows zit er standaard eentje die goed presteert en ook voor Android-toestellen bieden diverse gerenommeerde fabrikanten een app aan (blijf weg bij onbekende namen; er zijn namelijk ook valse apps met heel andere bedoelingen in omloop).

Stel overal waar dat mogelijk is tweefactorauthenticatie (2FA) in, zodat iemand om in te loggen niet genoeg heeft aan alleen maar een wachtwoord. Als je wachtwoord voor een site uitlekt, dan kan alsnog niemand met jouw account inloggen, omdat hij die tweede factor (meestal je telefoon) niet in handen heeft. Maar let op: er zijn ook slimmeriken die je benaderen met het verhaal dat ze een code hebben aangevraagd maar per ongeluk jouw telefoonnummer hebben ingetoetst. Een beveiligingscode die jij ontvangt, geef je nooit af. Zo simpel is dat.

Er zijn nog veel meer tips te geven. Oktober is de Europese cybersecurity-maand, dus je zult er vast nog wel een paar horen. Als we daar met z’n allen wat extra aandacht aan schenken, en daarnaast ook nog de coronamaatregelen naleven en (voor wie het aangaat) stoptober omarmen, dan komen we deze maand op diverse fronten beter uit dan we erin gingen. En o ja, schenk bij je aanpak ook wat aandacht aan kwetsbaardere groepen – leer je kinderen en je ouders hoe ze veilig online kunnen gaan. En geef ze de link naar de Security (b)log.