Posts tonen met het label vertrouwelijkheid. Alle posts tonen
Posts tonen met het label vertrouwelijkheid. Alle posts tonen

vrijdag 15 december 2023

Herriebakje voor 007

 

Foto van auteur

Wat hebben Desmond Llewelyn, John Cleese en Ben Whishaw gemeen? Wel, ze speelden allemaal de rol van Q in James Bond-films. Je weet wel, die norse man die Bond van allerlei technische snufjes voorziet, zoals schoenen met een giftig mes erin verwerkt, een lipstickbom en een horloge met een krachtige ingebouwde laser. Niet dat ik zo’n grote 007-fan of Q-groupy ben, maar ik liep laatst tegen een bijzonder ding aan dat niet zou misstaan in het arsenaal van een dubbel-nul-agent.

Het lijkt wel op een sushi-doosje, zei iemand. Maar dan wel een zware, want het geval weegt 600 gram, mede door de dikke bodem en dito deksel. Het deksel sluit hermetisch en op het ronde dingetje aan de voorkant staat automatic pressure purge. Binnenin zie je een kleine schakelaar, plus- en min-knoppen en een paar ledjes. Nee, dit is geen sushi-doos. Dit is echt iets uit het laboratorium van Q.

Als je het apparaat – want dat is het – aanzet en het deksel sluit, dan hoor je ruis. De volumeknoppen geven je zes verschillende standen; in alle standen hoor je de white noise door het gesloten doosje heen, en in de hardste stand is het ronduit irritant. Zodra je het deksel opent, stopt de herrie.

Ben je er al uit? Ik zal het maar verklappen. Dit ding is bedoeld om je telefoon in op te bergen tijdens vertrouwelijke besprekingen. De ruis zorgt ervoor dat eventuele luistervinken, die je telefoon hebben gehackt om je stiekem af te kunnen luisteren, alleen maar ruis horen. En door het transparante deksel kun je wel zien als er iets op je telefoon binnenkomt, bijvoorbeeld een bericht of een gesprek. Dat is het voordeel van deze doos boven een kooi van Faraday, die alle elektromagnetische straling blokkeert en feitelijk een vliegtuigmodus creëert – waarbij overigens niet kan worden uitgesloten dat malware een opname maakt en die later alsnog verstuurt. Kortom, met deze doos ben je tegelijkertijd bereikbaar en niet-afluisterbaar. Wow.

Ik zie het helemaal voor me. James Bond in het kantoor van M, die op het punt staat om de volgende opdracht te onthullen. Maar eerst gaan de telefoons in zo’n box. Want tja, top secret natuurlijk, die bespreking. En dergelijke functionarissen zijn per definitie een doelwit van het soort hackers dat over de kennis en de middelen beschikt om afluistersoftware te planten (ik denk aan onze geliefde statelijke actoren). En onze filmhelden moeten natuurlijk wel te allen tijde bereikbaar blijven, want misschien belt hun Amerikaanse collega Felix Leiter wel met belangrijk nieuws.

In het echte leven zal de markt voor dit product ook wel de wereld van spionnen zijn. Daarnaast zullen ook top-industriëlen en andere mensen, die iets weten wat anderen ook dolgraag zouden weten, tot de klandizie behoren van het Nederlandse bedrijf dat dit ding heeft ontwikkeld. Je zult ‘m minder gauw tegenkomen in een webshop met leuke cadeau-ideeën voor de kerst, al was het alleen maar omdat ’ie nogal prijzig schijnt te zijn.

In minder spannende ecosystemen gebruiken ze een armeluisvariant van dit high tech apparaat: een weckpot. Je weet wel, zo’n glazen pot met een rubberen ring en een beugelsluiting, bedoeld voor het inmaken van groente en fruit. Nou, in zo’n hermetisch gesloten pot kun je dus ook prima je telefoon stoppen, terwijl hij toch zichtbaar blijft (wel eerst het voedsel eruit halen en goed schoonmaken hè). Bij gebrek aan een weckpot kan ik nu even niet testen of er inderdaad geen geluid doordringt, maar ik wil wel geloven dat het gebruik ervan niet zinloos is. Al was het alleen maar dat de bewustwording op het thema vertrouwelijkheid een boost krijgt als er opeens weckpotten op de vergadertafel staan.

Prettige feestdagen wenst Borsoi, Patrick Borsoi.

De Security (b)log keert na de jaarwisseling terug.

 

En in de grote boze buitenwereld …

vrijdag 4 november 2016

Spullen kopen

Als je een nieuwe laptop, wasmachine of auto wilt kopen, dan heb je een bepaald beeld van het product waar je naar verlangt. Dat kan in algemene termen (licht, stil, blauw) of in de vorm van heel concrete specificaties (Intel Core i7-4810MQ processor, 1600 toeren, 340 pk). Hoe concreter de specificaties, hoe lastiger het selectieproces. Want waar sommige mensen misschien tevreden zijn met iedere auto zolang hij maar blauw is, daar zal een laptopkoper die een specifieke processor wil ook nog wel een paar andere eisen hebben, zoals beeldschermgrootte en type videokaart. En budget natuurlijk.

Voor de aanschaf van veel producten zijn Google, Kieskeurig en dergelijke sites je beste vrienden. Vaak kun je op vergelijkingssites allerlei filters instellen en zo het aantal producten waaruit te kiezen valt steeds kleiner maken (waarbij je op de koop toe neemt dat je misschien niet alle producten ziet die te koop zijn, omdat sommige sites alleen producten opnemen waarvoor de fabrikant betaalt). Maar soms werkt dat niet op deze manier en moet je met een verkoper aan de slag. Je legt hem zo goed mogelijk uit wat je nodig hebt en hij zoekt er het passende product bij (waarbij je op de koop toe neemt dat je misschien niet alle producten ziet die te koop zijn, omdat de verkoper niet van alle fabrikanten evenveel provisie ontvangt).

Als je iets duurs voor een overheidsorganisatie in Europa moet inkopen, dan moet dat via een openbare aanbesteding. Je beschrijft welk product of dienst je nodig hebt en aan welke eisen het allemaal moet voldoen. Dat hele verhaal publiceer je en alle Europese bedrijven die daar zin in hebben kunnen een offerte uitbrengen. Vervolgens ga je die offertes doorspitten. Voldoet een aanbieder niet aan je eisen, dan valt hij af. Uit de leveranciers die overblijven kies je er een op basis van vooraf beschreven criteria, bijvoorbeeld laagste prijs. En klaar is Kees. (Dit is een vereenvoudigde weergave.)

Maar wat als je niet wilt dat iedereen te weten komt wat je wilt kopen, of als de specificaties die je opgeeft veel informatie geven over bijvoorbeeld jouw technische infrastructuur? Dan heb je een probleem. Je zit in een spagaat: enerzijds wil je een product dat zo goed mogelijk aansluit bij jouw eisen en op de spullen die je al hebt, anderzijds is daarvoor nou precies de informatie nodig die je liever niet zou willen prijsgeven. Helaas gaat de ‘niet-openbare aanbesteding’ over iets heel anders dan de vertrouwelijkheid van jouw informatie. Als je googelt op ‘aanbesteding’ en ‘vertrouwelijkheid’, dan gaan de resultaten over het vertrouwelijk behandelen van de informatie die een potentiële leverancier aan de potentiële koper geeft. Dat is dus de andere kant op.

Ik heb maar niet verder gezocht naar regelgeving op dit gebied. Want uiteindelijk komt het toch neer op vertrouwen. Via de hierboven genoemde niet-openbare aanbesteding kun je een voorselectie van leveranciers doen. Daarmee kun je voorkomen dat jouw informatie breeduit op straat komt te liggen. De geselecteerde leveranciers zul je vroeg of laat wél de nodige detailinformatie moeten geven. Je kunt het vertrouwen een beetje organiseren met NDA’s (non-disclosure agreements, geheimhoudingsverklaringen) en zo’n leverancier zou dom zijn als hij daar inbreuk op maakt, maar je weet nooit helemaal zeker hoe een individuele medewerker met jouw informatie omgaat. En toch kopen opsporingsdiensten, defensieonderdelen en anderen die iets te verbergen hebben regelmatig spullen. In deze fase is er trouwens geen verschil met het bedrijfsleven: ook daar zullen ze een leverancier voldoende inzicht moeten geven om hem in staat te stellen de juiste producten of diensten te leveren.

Ken je die mop over die betrouwbare autoverkoper? Ik ook niet. Maar ik denk wel dat het goed mogelijk is om vertrouwen in een leverancier te hebben, want je hoort eigenlijk nooit dat er op dat vlak iets misgaat. Binnenkort maar eens bij onze inkopers gaan buurten en informeren hoe dat in de praktijk werkt.

En in de grote boze buitenwereld …

... wapenen de VS zich tegen mogelijke Russische cyberaanvallen op hun presidentsverkiezingen.
https://www.washingtonpost.com/world/national-security/russia-seen-as-unable-to-alter-election-but-may-still-seek-to-undermine-it/2016/11/03/b7387160-a1cd-11e6-8832-23a007c77bb4_story.html

... zijn uiteraard ook slimme lampen hackbaar.
http://www.nu.nl/internet/4345615/onderzoekers-hacken-slimme-lampen-met-drone.html

... hebben twee computers zelf een crypto-algoritme bedacht en geen mens weet hoe het werkt.
http://www.demorgen.be/wetenschap/twee-computers-bedenken-eigen-geheimtaal-en-niemand-weet-hoe-het-werkt-b90e2d24/

... wilde een Britse verzekeringsmaatschappij haar jonge klanten beoordelen aan de hand van hun Facebookprofiel.
http://www.volkskrant.nl/tech/facebook-steekt-stokje-voor-spieken-door-autoverzekeraar~a4407398

... moet je oppassen voor een valse Flash Player-app.
https://threatpost.com/phony-android-flash-player-installs-banking-malware/121696/

... zullen ook auto's niet veilig zijn voor ransomware.
http://blog.caranddriver.com/ransomware-the-next-big-automotive-cybersecurity-threat

... vraagt de internetjurist zich af of een provider onveilige IoT-devices mag blokkeren.
http://blog.iusmentis.com/2016/11/02/mag-internet-provider-onveilige-iot-apparaten-blokkeren/

... is het de hoogste tijd om af te rekenen met onveilige IoT-devices.
https://www.fox-it.com/nl/insights/blogs/blog/ongekend-grote-ddos-aanvallen-is-nog-begin/

... is de mail van de campagnechef van Hillary Clinton gehackt via een phishing mail waarvan de IT-afdeling had gezegd dat het een legitiem mailtje was. Oeps.
https://www.hotforsecurity.com/blog/this-is-the-email-that-hacked-hillary-clintons-campaign-chief-17039.html

... is je smartphone of tablet misschien gehackt als hij deze tekenen vertoont.
http://www.inc.com/joseph-steinberg/14-signs-your-smartphone-or-tablet-has-been-hacked.html

... moesten drie Britse ziekenhuizen de deuren sluiten omdat ze met malware – waarschijnlijk ransomware – waren besmet.
https://www.helpnetsecurity.com/2016/11/01/uk-hospitals-virus-attack/

... is big data ook big business. [Duits]
http://www.tagesschau.de/inland/tracker-online-101.html

... was één tweet voldoende om een DDoS-aanval op het Amerikaanse noodnummer 911 te ontketenen.
http://www.theverge.com/2016/10/30/13471128/meetkumar-hiteshbhai-desai-arrest-911-exploit

... meldde de Telegraaf dat je vanaf 2018 een 'pasjeskastje' nodig hebt bij online aankopen. Of is dat toch niet waar, zoals de internetjurist betoogt?
http://www.telegraaf.nl/dft/nieuws_dft/26910383/__Muur_om_mobiele_webshop__.html
http://blog.iusmentis.com/2016/10/31/hoezo-mag-internetshoppen-vanaf-2018-alleen-nog-apart-betaalkastje/