Dag wachtwoord

 

Afbeelding via Pixabay

De dag van de tonijn, Star Wars-dag, de dag van het naakt tuinieren – zomaar een greep uit de talloze ‘dagen-van’ die je dezer dagen zou kunnen vieren. De ene dag spreekt je misschien meer aan dan de andere, maar de dag waar ik het met jullie over wil hebben is de dag van het wachtwoord. Of, chiquer: World Password Day. Die dag werd in 2013 in het leven geroepen door technologiebedrijf Intel “om bewustzijn te kweken over de rol die sterke wachtwoorden spelen in het beveiligen van ons hele digitale leven”.

Het wachtwoord heeft dus z’n eigen feestdag, maar het wordt ook verguisd. Je hebt er teveel van, ze moeten aan allerlei ingewikkelde eisen voldoen, je vergeet ze, ze willen regelmatig ververst worden en ze zijn veel te belangrijk voor de beveiliging van al die accounts. Wordt het dan niet tijd dat het wachtwoord die belangrijke rol, die Intel het een klein decennium geleden toedichtte, inlevert? Ten gunste van iets gemakkelijkers en veiligers?

Kijk om je heen. Het ís er al. Hoe ontgrendel jij je telefoon? Dat kan heel gemakkelijk met je vingerafdruk of met je gezicht. Je vingerafdruk is veiliger dan een pincode, want niemand kan hem afkijken. En ja, ik ken ook wel die James Bond-scenario’s waarbij vingerafdrukken met een plakbandje van een bierglas worden geplukt om ze vervolgens in latex na te maken, maar gewone stervelingen hoeven daar echt niet voor te vrezen. Functionarissen, voor wie dit soort high-tech aanvallen wél een bedreiging kunnen vormen, beseffen dat zelf maar al te goed – mag ik hopen. Gezichtsherkenning van consumentenkwaliteit, zoals die in mobieltjes wordt toegepast, is vaak toch nog te gemakkelijk te omzeilen met een foto, daarom ontraad ik het gebruik ervan voor zakelijke/belangrijke toepassingen.

Microsoft propageert al een poosje ‘wachtwoordloze authenticatie’: het systeem kan dan vaststellen dat jij het echt bent zonder dat daar een wachtwoord aan te pas komt. Sinds een jaar kunnen zakelijke gebruikers zonder wachtwoord inloggen bij onder andere Outlook en OneDrive. In plaats daarvan gebruiken ze de Authenticator app, Windows Hello, een fysieke veiligheidssleutel of een verificatiecode die je op je telefoon of per e-mail ontvangt.

Zo’n authenticator app (je hebt ze ook van bijvoorbeeld Google en RSA) genereert voor ieder account dat je ermee beschermt een cijfercode, die meestal één minuut geldig is. Bij het inloggen moet je die code invullen. Momenteel gebruiken we dit mechanisme meestal in het kader van meerfactorauthenticatie (wachtwoord + iets extra’s), maar Microsoft wil ons hiermee helemaal van het wachtwoord afhelpen.

Windows Hello werkt bijvoorbeeld met een infraroodcamera, die onder andere kijkt naar het warmtebeeld van je gezicht, de afstand tussen je ogen en de diepte van je oogkassen en de positie van mond en neus. Zonder foto’s te maken. Maar het kan ook met een pincode. Huh? Een pincode is toch onveiliger dan een wachtwoord, omdat je slechts tien verschillende tekens gebruikt? Om te beginnen hoeft de Hello-pincode niet uit alleen cijfers te bestaan, maar wat belangrijker is: de pincode is gekoppeld aan een specifiek apparaat, bijvoorbeeld je laptop. Bovendien is de pincode niet zoiets als een surrogaat-wachtwoord, maar een code om jouw eigen geheime sleutel toegankelijk te maken voor het systeem. Met behulp van die sleutel wordt een cryptografisch beveiligd login-verzoek naar een server gestuurd. Daarbij wordt je pincode zelf niet verzonden. Er is ook geen server waarop jouw pincode is opgeslagen. Bij wachtwoorden is dat anders: bij een webwinkel weten ze je wachtwoord omdat ze het moeten kunnen controleren. Daarom is de wereld altijd in rep en roer als het wachtwoordbestand van een groot bedrijf gestolen is.

Windows Hello is slechts een voorbeeld van een wachtwoordloze toekomst, hier gekozen omdat ik denk dat de kans groot is dat dit jouw eerste ervaring hiermee zal zijn – of al is – op een computer. Voor het vertrouwen in dergelijke technologie is het belangrijk dat je enigszins begrijpt hoe het werkt. Toen ik een paar jaar geleden mijn nieuwe computer uitpakte en Windows 10 met alle geweld wilde dat ik een pincode verzon in plaats van een wachtwoord, vond ik dat ook raar. Maar met wat uitleg vallen de puzzelstukjes op hun plek.

Veel eigenschappen van wachtwoorden zijn inmiddels achterhaald, zoals complexiteitseisen en de eis om ze regelmatig te vervangen. We kunnen die eigenschappen moderniseren, maar we kunnen ook meteen een grote stap zetten en wachtwoorden helemaal afschaffen. Ook Intel, dat deze themadag verzon, werkt mee in de FIDO Alliance, een wereldwijde club waarin technologiebedrijven samenwerken aan een sterke manier om gebruikers zónder wachtwoorden te authentiseren, omdat ze geloven in de veiligheid ervan. We gaan gemakkelijkere, veiligere tijden tegemoet. Maar voor het zover is: gebruik een password manager, die wachtwoorden voor jou verzint en opslaat, en die geautomatiseerd voor jou inlogt. Dat is altijd veiliger dan zelf prutsen. Want dat is nou eenmaal wat wij mensen doorgaans doen als het om wachtwoorden gaat.

  

En in de grote boze buitenwereld …

… is ongetwijfeld weer het een en ander gebeurd, maar deze keer had ik helaas geen tijd om die informatie te selecteren en hier te presenteren.

Bromvlieg

 

Afbeelding via Pixabay

“Dikke bromvlieg optimistisch over 160^e poging om door het raam heen te beuken”, meldde de satirische website DeSpeld deze week. Op sommige momenten voel ik een grote verwantschap met dat insect.

Heb je dat ook wel eens, dat iets wat voor jou zonneklaar is door een ander niet wordt begrepen? Dat je er niet bij kunt dat ze dat niet snappen? Ik zit trouwens ook wel eens aan de andere kant hoor, bijvoorbeeld als de kinderen pret hebben om “Hey Marco, prima!” en ik geërgerd vraag waar ze het in hemelsnaam over hebben (Google maar als je het per se wilt weten).

Als ik echter aan de verbaasde kant van snappen-ze-dat-nou-echt-niet sta, dan is het toch een ander verhaal. En dan is het de kunst om professioneel te reageren, of het nou in je privéleven of in je werk is. Een voorbeeld van dat eerste heb ik tweemaal meegemaakt toen de kinderen op de middelbare school kwamen en daar wiskunde kregen. Ik hielp ze wel eens met wiskunde, en bij het behandelen van eenvoudige vergelijkingen kwam ik erachter dat ze geen flauw idee hadden wat een variabele nou eigenlijk is. Hun glazige blikken toen ik zei: “Als je nou eens 2 invult voor x…” spraken boekdelen. Dan moet je jezelf even resetten, in de stand ‘back to basics’ gaan en woorden vinden om iets uit te leggen wat voor jou volledig vanzelfsprekend is. In de tussentijd vraag ik me dan overigens wel af hoe het kan dat zoiets de docent kennelijk totaal ontgaat. Het helpt trouwens als je zo’n situatie eerder hebt meegemaakt – bij het tweede kind herkende ik snel wat er aan de hand was en was ik niet eens meer verbaasd.

Maar vooral in mijn werk voel ik me soms wel eens als de bromvlieg, die probeert om door dubbelglas heen te beuken. Wat dan niet helpt, is een extra aanloop nemen en in volle vaart opnieuw tegen die ruit opknallen. Die vlieg snapt dat niet. Ik wel. En daarom ga ik op zoek naar een ander raam, dat misschien open staat. Dat kost weliswaar extra tijd en moeite, maar het biedt wel perspectief op het bereiken van mijn doel.

Je moet van beide kanten open staan voor dit verschijnsel. Gisteren zat ik in een overleg over hoe we met de BIO (Baseline Informatiebeveiliging Overheid) moeten omgaan in een bepaald project. Na een tijdje realiseerde ik me dat een van de deelnemers misschien helemaal niet weet wat die BIO inhoudt. Daarom heb ik het hem gevraagd. In dit geval was hij uitstekend op de hoogte, maar het kan ook voorkomen dat iemand helemaal afhaakt omdat hij niet weet waar je het over hebt. Aan de andere kant: als iemand over iets praat wat je niet kent, of een afkorting gebruikt die jou niks zegt, vraag er dan naar. Er bestaat immers maar één domme vraag: de vraag die niet werd gesteld.

Ik worstel al een tijdje met wachtwoorden. Om de haverklap kom ik collega’s tegen die – ongetwijfeld met de beste bedoelingen – onveilig met wachtwoorden omgaan. Het gaat daarbij meestal om wachtwoorden die worden gebruikt bij het testen van informatiesystemen en het ene systeem toegang moeten verschaffen tot het andere (bijvoorbeeld om gegevens op te halen). Die tests worden vaak geautomatiseerd uitgevoerd, soms in het holst van de nacht. Nou zijn er technieken om ervoor te zorgen dat die wachtwoorden in een digitale kluis staan, waar ze door het desbetreffende proces uit gehaald kunnen worden. Komt geen mens aan te pas. En geen mens kent die wachtwoorden, want ze zijn automatisch gegenereerd en daarna meteen versleuteld opgeslagen in die kluis. Klinkt degelijk, nietwaar?

Helaas zijn er teams die dit niet kunnen of willen toepassen. Die dan zeggen: wij willen het wachtwoord in klare taal hebben, dan stoppen we het wel in de password manager van ons team en dan kunnen we erbij als het nodig is. En dan ben ik toch even die bromvlieg die denkt: hoe kan het dat ze niet snappen dat wachtwoorden voor de koppeling tussen systemen niet bij ménsen bekend horen te zijn? Maar zo simpel ligt het natuurlijk nooit. Er zijn altijd wel goede redenen om het niet zus maar zo te doen. En als iets werkt, dan is er doorgaans weinig animo om daar iets aan te veranderen. Maar, zeg ik dan: zet je raampje open om de bromvlieg erdoor te laten. Dat levert een win/win-situatie op: vlieg blij, jij blij. En het wordt weer een stukje veiliger. Ook al is het ‘maar’ in de testomgeving. Die trouwens productie-like zou moeten zijn…

Volgende week verschijnt er geen Security (b)log.

 

En in de grote boze buitenwereld …

• mogen online platforms, zoals Google en Amazon, hun Europese gebruikers straks niet meer manipuleren.
• biedt Google ons binnenkort een soepelere cookiewall.
• trackt die iOS-app jou misschien toch nog gewoon.
• regel je privacy liefst voordat er kritische vragen komen.
• maakte men zich al in 1971 druk over de privacy-aspecten van computergebruik.
• kun je even geen datalekken melden.
• levert het vinden van zwaktes in de beveiliging van systemen een aardig zakcentje op.
• kan het ondoordacht invoeren van zero trust ertoe leiden dat beveiligingssystemen blind worden.
• waren patiëntendossiers, die in de cloud waren opgeslagen, door een DDoS-aanval urenlang onbereikbaar.

Wachtwoordsysteempje

Frans, Fred en Frits hadden alle drie een systeempje. Zonder het van elkaar te weten, hadden ze min of meer hetzelfde systeem bedacht. Niet om rijk worden in het casino, maar ze zouden er wel hun talloze wachtwoorden op een slimme manier mee kunnen beheren, dachten ze. Want, zo hadden ze geleerd, je moet voor al je accounts een ander wachtwoord gebruiken. Doe je dat niet en lekt je wachtwoord van account A uit, dan loop je ook gevaar voor accounts B tot en met Z.

Het systeem van de drie F’s zag er als volgt uit: elk wachtwoord bestond uit twee delen; het eerste deel was voor alle accounts hetzelfde, het tweede deel was variabel. Frans gebruikte voor het eerste deel een stukje voornaam en een stukje achternaam, Fred en Frits hadden een vast woord waar alvast de meest voorkomende wachtwoordeisen in voorkwamen (hoofdletter, cijfer, symbool). Meteen maar even een tip: het verwerken van je naam is niet aan te bevelen, net zomin als het gebruik van geboortedata, adressen, namen van huisdieren, auto- en biermerken, de naam van je lief en al die andere dingen die aan jou te linken en dus raadbaar zijn.

Maar het echte venijn zat ‘m in het tweede deel. Dat was namelijk bij hen alle drie een rechtstreekse verwijzing naar de naam van de site of het systeem waartoe het wachtwoord toegang gaf. Stel dat het vaste woord van Fred ‘moTorf1et$’ was, dan had hij dus wachtwoorden als moTorf1et$linkedin, moTorf1et$gmail en moTorf1et$rabo.

Waarom dat geen goed idee is? Op een slechte dag bemachtigt een hacker het wachtwoordbestand van een site waar jij een account had (dat overkwam LinkedIn bijvoorbeeld in 2014). Wachtwoorden horen versleuteld te worden opgeslagen, en wel dusdanig dat de versleuteling onomkeerbaar is. Maar niet alle bedrijven doen dat netjes, waardoor hackers er soms in slagen om de wachtwoorden leesbaar te maken. En dan ziet zo’n hacker jouw wachtwoord moTorf1et$linkedin en denkt: hmm, Fred heeft de naam van het account in zijn wachtwoord verwerkt, zou hij een wachtwoordsysteem gebruiken met een vast en een variabel deel? Laat ik eens proberen of ik op die manier bij een bank of bij een mailaccount kan inloggen… Hackers zijn vaak slimme mensen, mensen.

Frits besefte al jaren geleden dat dit systeem risicovol was en veranderde de verwijzing naar de site in willekeurige tekens die hij, samen met de naam van de desbetreffende site, in een lijstje ging noteren. Omdat het vaste deel van de wachtwoorden daar niet bij stond, was het niet zo erg als dat lijstje zou uitlekken. Frans vroeg onlangs aan iemand met verstand van informatiebeveiliging wat die van zijn systeem vond en heeft hopelijk inmiddels de nodige aanpassingen gedaan.

En Fred, die kreeg onlangs een wake-up call. Hij had een account aangemaakt bij een webshop en zoals gebruikelijk ontving hij even later een welkomstmailtje. Tot zijn schrik bevatte het mailtje, bij wijze van goedbedoelde service, Freds wachtwoord. E-mail is nog vaak als een briefkaart: iedereen die ‘m ziet – de postbode, een huisgenoot, een toevallige passant – kan lezen wat erop staat. En dus, zo besefte Fred, was zijn wachtwoordsysteem gecompromitteerd. Bovendien slaat die webshop de wachtwoorden van zijn klanten waarschijnlijk onversleuteld op, waarvoor ze een ferme tik op de vingers verdienen.

Laten we twee afspraken maken. Eén: als je, net als Fred, een mailtje van een bedrijf ontvangt waarin ze je wachtwoord vermelden, neem dan even de moeite om hen te laten weten dat ze daarmee de veiligheid van hun klanten in gevaar brengen. Twee: als je ook zo’n Frans/Fred/Frits-systeempje voor je wachtwoorden gebruikt, kijk er dan eens kritisch naar. Als het verwijzingen naar jou bevat, of naar het object waartoe het toegang geeft, dan is er werk aan de winkel.

Maar je kunt het nóg beter doen. Gooi je systeem overboord en stap over op een password manager: een app die al jouw wachtwoorden veilig bewaart én sterke wachtwoorden voor je verzint. Lekker lange, willekeurige wachtwoorden, zonder systeem. Want dat zijn de beste. Je favoriete zoekmachine helpt je om de voor jou meest geschikte password manager te vinden. Of praat eens met wat mensen die er al eentje gebruiken.

Doe het vandaag.

En in de grote boze buitenwereld …

• heeft een wereldwijde phishing-campagne het voorzien op tweehonderdmiljoen gebruikers van Microsoft 365.
• worden fabrikanten en verkopers van IoT-devices op hun informatieplicht gewezen.
• krijgt Amerika een nieuwe wet, die regels oplegt aan IoT-devices voor de federale overheid.
• keurde de AIVD onveilige systemen van Buitenlandse Zaken goed.
• stal een statelijke actor de gereedschapskist van een beveiligingsbedrijf.
• waarschuwt deze admiraal voor het onzichtbare deel van de cybersecurity-ijsberg.
• trappen online daters van middelbare leeftijd zo vaak in datingfraude, dat er een informatiecampagne voor komt.
• rijzen de prijzen van ransomwarecriminelen de pan uit.
• is pixelen niet goed genoeg als je informatie echt geheim moet blijven.
• gaat de politie het zoekgedrag van alle medewerkers monitoren, om lekken naar criminelen tegen te gaan.
• gaat het NCSC meer informatie uitwisselen met beveiligingsbedrijven.
• loopt de overheid achter met het beveiligen van e-mail.
• onderzoekt de overheid ons digitale bewustzijn.

 

Wachtwoorden bewaren

Pff, ik gebruik op m’n werk nogal wat wachtwoorden. Als ik er daar eentje van vergeet, dan kan ik niet meer werken en moet ik door een moeilijke procedure heen om dat wachtwoord te resetten. Weet je wat? Ik mail een lijstje met al mijn wachtwoorden naar huis. Mocht het dan een keertje misgaan, dan hoef ik alleen even in mijn privémail te kijken en kan ik meteen weer door. Lekker handig!

Het bovenstaande is niet mijn gedachtegang, maar, getuige een recent geval, wel die van sommige mensen. Zoals zo vaak met de beste bedoelingen. Ik kan het er, als informatiebeveiliger, toch niet mee oneens zijn dat iemand de continuïteit van zijn werkzaamheden veiligstelt? Nee, dat laatste is inderdaad een prima initiatief, alleen valt er wel wat af te dingen op de manier waarop sommige mensen daar invulling aan geven. Ik zal je uitleggen waarom de werkwijze uit de eerste alinea géén goed idee is. En natuurlijk wat je in plaats daarvan wél kunt doen.

Eerst maar even afrekenen met de stelling dat het resetten van je wachtwoord moeilijk zou zijn. Omdat wachtwoordresets een aanzienlijke aanslag op de capaciteit van een helpdesk plegen, verzinnen organisaties daar slimme doe-het-zelf-oplossingen voor. Je doet er goed aan om bij jouw eigen organisatie na te gaan wat hiervoor beschikbaar is. En voor privéwachtwoorden geldt dat die in de meeste gevallen eenvoudig te herstellen zijn via de link ‘ik heb mijn wachtwoord vergeten’.

Dan terug naar de eigenlijke kwestie: wachtwoorden mailen is niet oké. Een wachtwoord is een best wel belangrijk ding, dat je toegang geeft tot systemen en gegevens. Zou je de sleutel van je voordeur op een briefkaart willen plakken en per post ergens heen sturen, onder vermelding van het afzenderadres? Dat is namelijk precies wat je doet door wachtwoorden te mailen – ook al vermeld je de bijbehorende accountnaam er niet bij, want dat is geen geheim gegeven en dus te achterhalen, of het nou om een zakelijk user-id gaat of om het e-mailadres waarmee je bij een webshop inlogt.

We beschouwen te beschermen gegevens niet alleen als ze onderweg zijn (het verzenden per mail), maar ook als ze op de bestemming zijn aangekomen (de opslag ervan). Een per e-mail verzonden wachtwoord woont dan op de mailserver van je provider, in de mailfile op je computer en in je mobiel en misschien ook nog ergens op je harde schijf (we zien wel vaker dat wachtwoorden in een Excel-bestand worden gemaild, dat thuis waarschijnlijk in de map ‘Wachtwoorden’ wordt opgeslagen). Al deze plekken zijn er niet voor gemaakt om wachtwoorden te herbergen, omdat iedereen die toegang tot die opslaglocaties heeft, daarmee ook toegang tot je wachtwoordlijstje heeft.

Maar ik kan dat Excel-bestand toch versleutelen door er een wachtwoord op te zetten?, hoor ik je denken. Ja, dat kan, maar ons mailsysteem staat het extern mailen van versleutelde bestanden niet toe (omdat het dan niet kan worden gecontroleerd op bijvoorbeeld virussen). Ik hoop dat je dat niet als tip opvat – wat ik hier zeg is: een wachtwoordlijstje versleuteld mailen kán niet, maar onversleuteld mailen mág niet. Doe je dat wel, dan geef je kwaadwillenden in potentie de sleutel tot ons datacenter, of in ieder geval tot het gedeelte van de informatie waar jij bij kunt. En omdat hackers erg goed zijn in het verwerven van steeds hogere rechten, kan het mailen van wachtwoorden ernstigere gevolgen hebben dan je op het eerste gezicht zou vermoeden.

Maar hoe kun je er dan wél voor zorgen dat je geen wachtwoorden kwijtraakt? Het antwoord daarop heeft verschillende namen: wachtwoordkluis, password manager, password vault – allemaal benamingen voor toepassingen die voor één doel ontworpen zijn: het veilig opbergen van wachtwoorden en ze alleen aan de rechtmatige eigenaar ter beschikking stellen als die erom vraagt. Voor je computer thuis en voor je mobiel kun je kiezen uit tal van producten die, als het even meezit, met elkaar samenwerken: een op je mobiel ingevoerd wachtwoord is dan ook op je computer beschikbaar – en andersom. In mijn ervaring mogen die programma’s nog wel wat doen aan hun gebruikersvriendelijkheid; het gebruik is niet altijd even intuïtief. De meeste password managers hebben nog een belangrijke functie: ze kunnen veel betere wachtwoorden bedenken dan jij en ik. En omdat je die toch niet zelf hoeft te onthouden en in te vullen, mogen ze lekker lang en ingewikkeld zijn (waarbij vooral de lengte er toe doet).

Browsers zoals Chrome, Firefox en Safari bieden ook aan om je wachtwoorden op te slaan als ze zien dat je ergens inlogt. Maar die zijn nog niet zo goed als password managers, die speciaal voor dit doel gebouwd zijn, zo valt uit diverse artikelen hierover op te maken. En omdat ‘goed’ in deze context al gauw over veiligheid gaat, blijf je voorlopig beter nog even weg bij die ingebouwde wachtwoordkluizen.

En in de grote boze buitenwereld …

• wil het RIVM onze locatiedata gebruiken in de strijd tegen corona.
• is bedrijfscontinuïteit ook belangrijk als je ketchup produceert.
• kun je je data kwijtraken als je cloudprovider vindt dat daar iets onbetamelijks tussen zit.
• vinden cybercriminelen Office365 ook heel handig.
• geven grote winkels, na overleg met de Autoriteit Consument & Markt, betere informatie over slimme apparaten.
• krijgen slimme apparaten in Singapore een cybersecurity-label, waaraan de consument gemakkelijk kan aflezen of beveiliging is mee-ontworpen en of het apparaat op veiligheid is getest.
• heeft je slimme auto wel signaal nodig om gerepareerd te kunnen worden.
• blijven overheden steeds weer proberen om achterdeurtjes in versleuteling in te laten bouwen.
• adviseert de militaire inlichtingendienst grote bedrijven om smartphones uit de vergaderzaal te verbannen.
• is een digitale foto meer dan alleen een plaatje.

Wachtwoord gelogd

“D1tismijnw8chtwoord#tra!@litralAla”. Enter. Huh? Wachtwoord fout? O, ik zie het al. Ik dácht dat ik hier al ingelogd was en alleen hoefde te ontgrendelen, maar dat klopt niet. Ik heb dus mijn wachtwoord in het veld voor de gebruikersnaam getypt en geënterd. Gewoon opnieuw proberen. Niks aan de hand. Of…?

Je voelt het addertje onder het gras al aan je in flipflops* gestoken tenen knabbelen, hè? Dat zit zo. Omdat er nu eenmaal onaardige mensen bestaan, moet je computersystemen beschermen tegen indringers. Zo iemand zou kunnen denken: weet je wat, ik probeer gewoon eens een gebruikersnaam en een wachtwoord en dan zie ik wel wat er gebeurt. Als hij dat heel vaak doet, dan heeft hij misschien een keer geluk en komt hij binnen.

Maar hij kan zijn geluk een handje helpen. Misschien is het niet zo moeilijk om een correcte gebruikersnaam te bedenken, bijvoorbeeld omdat een organisatie daar een vast stramien voor gebruikt (ik noem maar eens wat: een deel van je achternaam, een voorletter en een volgnummer). Als er dan een Jansen of De Vries werkt, dan heb je zo een valide gebruikersnaam te pakken.

En veel mensen hebben helaas nog steeds bedroevende wachtwoorden, zo blijkt steeds weer uit onderzoeken en gelekte wachtwoorddatabases. Met ‘geheim’, ‘w@chtWo0rd’, ‘1234567890’, ‘qwertyuiop’ en ‘uiophjklvbnm’ val je echt door de mand, mensen, ook al vervang je letters door tekens en cijfers en lijkt dat laatste wachtwoord door zijn lengte een flinke kluif voor kraakprogramma’s te zijn (kijk maar eens op je toetsenbord waarom dat toch een slecht wachtwoord is). Ach ja, ik heb het al vaker gezegd: de techniek moet eens gauw met een veilig, universeel toepasbaar alternatief komen, zodat wij zwakke mensen niet meer met wachtwoorden hoeven te dealen.

Goed, er zijn dus mensen die ergens proberen in te loggen zonder dat ze daar recht op hebben. Als beheerder van zo’n potentieel doelwit wil je weten of dat op jouw systeem gebeurt. En dus laat je je systeem vastleggen als er iets gebeurt dan mogelijk van belang kan zijn dat de beschikbaarheid, integriteit of vertrouwelijkheid van je systeem en je gegevens zou kunnen aantasten. Middels logging kun je van alles vastleggen: dat een harde schijf bijna vol is, dat iemand een bepaald gegeven heeft gewijzigd en dat bij iemand een virus is gesignaleerd. En dus ook dat er een mislukte inlogpoging heeft plaatsgevonden.

Het overkomt iedereen wel eens dat hij een typfout maakt in z’n wachtwoord, zeker als dat een wachtwoord is dat aan allerlei complexiteitseisen voldoet. Dan staat er in het logbestand: mislukte login voor gebruiker xyz. Bij een integer opgezet systeem hoef je niet bang te zijn dat het ingetypte wachtwoord ook wordt gelogd. Stel je voor zeg: de fout zit waarschijnlijk in één positie, waardoor het loggen van het ingetypte wachtwoord het grootste deel ervan zou prijsgeven aan iedereen die het logbestand kan inzien.

Maar nu komt het: als je de fout maakt die ik in de eerste alinea beschreef, dan staat je wachtwoord op de plek waar eigenlijk je gebruikersnaam zou moeten staan. Omdat je vervolgens entert met een leeg wachtwoordveld, is er sprake van een mislukte login. Dat wordt natuurlijk gelogd. Daar gáát je wachtwoord. In de logging staat nu: mislukte login voor gebruiker D1tismijnw8chtwoord#tra!@litralAla.

Wat moet je nu doen? Wat je altijd moet doen als je weet of vermoedt dat je wachtwoord is uitgelekt: als de sodemieter wijzigen. Je hoeft echt niet te wachten tot het systeem zegt dat je wachtwoord verloopt; op bijvoorbeeld een Windows-computer druk je op ctrl-alt-delete en kies je vervolgens voor ‘Wachtwoord wijzigen’. Ook andere systemen bieden de mogelijkheid om je wachtwoord op eigen initiatief te wijzigen. Als je hetzelfde wachtwoord ook voor andere systemen gebruikt, dan moet je het daar ook wijzigen. In de grote boze buitenwereld wordt het hergebruiken van wachtwoorden trouwens sterk afgeraden, maar voor organisatie-interne systemen heb ik daar persoonlijk minder moeite mee. Mits je doet wat in deze alinea staat als het een keertje mis gaat.

*) Van Dale: scha­kel­ele­ment met twee in­stel­mo­ge­lijk­he­den dat na sig­naal­ont­vangst van de ene in de an­de­re stand om­slaat. Maar dat bedoel ik hier niet.

En in de grote boze buitenwereld …

... hebben Iraanse staatshackers hun werk gefilmd en per ongeluk op een vrij toegankelijke server opgeslagen.

https://www.wired.com/story/iran-apt35-hacking-video/

... is het Privacy Shield van tafel (afspraken tussen de EU en de VS over persoonsgegevens).

https://techcrunch.com/2020/07/16/europes-top-court-strikes-down-flagship-eu-us-data-transfer-mechanism/

... stond mijn Twitter-tijdlijn deze week bol van de hack op Twitter-accounts van bekende personen. Dit zijn wat mij betreft de belangrijkste artikelen hierover:

·         In het Nederlands: https://www.nrc.nl/nieuws/2020/07/15/accounts-prominente-twitteraars-en-bedrijven-gehackt-a4006093

·         Wat er gebeurd is:
https://www.wired.com/story/twitter-hacking-musk-obama-apple-biden-kanye/

·         Social engineering maakte de hack mogelijk:
https://www.vice.com/en_us/article/jgxd3d/twitter-insider-access-panel-account-hacks-biden-uber-bezos

·         Hackers konden privéberichten lezen en dat, en niet de afgetroggelde bitcoins, is het grootste zorgpunt:
https://www.grahamcluley.com/the-twitter-hack-why-elon-musk-bill-gates-jeff-bezos-and-others-might-have-reason-to-be-worried/

·         Ontrafelt dit artikel wie er achter de hack zit: https://krebsonsecurity.com/2020/07/whos-behind-wednesdays-epic-twitter-hack/

... zitten Amerikaanse inlichtingendiensten in hun maag met mondkapjes. Want die frustreren gezichtsherkenningssystemen (al las ik enkele weken geleden dat China dat probleem zou hebben opgelost).

https://theintercept.com/2020/07/16/face-masks-facial-recognition-dhs-blueleaks/

... leidde de corona-lockdown tot een flinke toename van spyware en stalkerware.

https://www.enterprisetimes.co.uk/2020/07/13/spyware-and-stalkerware-usage-surges-during-lockdown/

... adverteert iemand op het dark web met de gegevens van vele miljoenen hotelgasten van de MGM-keten.

https://threatpost.com/leaked-details-142-million-mgm-hotel-guests/157402/

... opende een politieke partij op gemeentelijk niveau een meldpunt cybercrime. Vreemd.

https://www.destentor.nl/apeldoorn/te-maken-gehad-met-cybercriminaliteit-in-apeldoorn-opent-het-cda-een-meldpunt~ac323ca7/

... blijven kwetsbaarheden in de meeste routers onbehandeld.

https://www.teiss.co.uk/all-home-routers-vulnerable-threats/

Bescherm je wachtwoorden

“Jouw wachtwoord vleermu!s69”, stond uitdagend boven het mailtje dat Dorus ontvangen had. Dat wachtwoord herkende hij wel, al gaf het getal aan dat het van lang geleden was. Dorus paste goed op zijn wachtwoord, hoe kon het dat iemand het kende? Even verder lezen: “Ik weet je wachtwoord, en als je niet binnen 24 uur voor € 2000 aan bitcoins aan mij overmaakt, dan stuur ik een filmpje naar al jouw contacten. Op dat filmpje ben jij te zien terwijl je achter je computer vieze dingen doet.” En o ja, de afzender van het mailtje was… Dorus zelf.

Ettelijke mensen van over de hele wereld hebben de afgelopen jaren mailtjes van die strekking ontvangen. Een jaartje geleden heb ik daar ook al eens een Security (b)log aan gewijd, maar omdat het onderwerp actueel blijft – ik krijg regelmatig vragen van verontruste mail-ontvangers – en we met z’n allen momenteel nu toch wel in een kwetsbaardere situatie zitten, kan het geen kwaad om het er maar weer eens over te hebben.

De kracht van die mailtjes zit in het meegestuurde wachtwoord; zonder dat zou je het mailtje gemakkelijk kunnen afdoen als een schot hagel, waarbij de crimineel hoopt dat er altijd wel mensen zijn die erin trappen. Maar zo’n mailtje met wachtwoord, dat moet wel  maatwerk zijn, of om het bij schieten te houden: it’s a bullet with your name on it.

Ik kan je geruststellen: je bent niet gehackt, ze kennen je contacten niet en er is geen filmpje gemaakt. Maar dat wachtwoord dan? Dat hebben ze elders gejat. Je hoort regelmatig dat bedrijven gehackt worden, en soms wordt bij zo’n hack het bestand met gebruikersgegevens gekopieerd. Als dat bestand niet goed beveiligd is, dan hebben de criminelen zowel de gebruikersnamen als de bijbehorende wachtwoorden in handen. En omdat de gebruikersnaam vaak je e-mailadres is, weten ze ook meteen waar ze hun afpersmail naar toe moeten sturen. Zo maken criminelen waarschijnlijk nog steeds gebruik van het wachtwoordbestand dat in 2012 bij LinkedIn is gestolen.

Wachtwoorden zijn ondingen, maar voorlopig zijn we er nog niet van af. Het is dus zaak om er goed mee om te gaan. Daarom ga ik je nog eens vertellen wat je moet doen en laten. Vaak worden dit ‘tips’ genoemd, maar dat klinkt altijd zo vrijblijvend. Ik wil gewoon dat je doet wat ik zeg, oké? (Maar omdat ook ik de waarheid niet in pacht heb, mag je mijn maatregelen uiteraard door andere vervangen, als ze maar minstens even goed zijn. Laat dan wel even weten wat jij anders doet en waarom, zodat we er met z’n allen van kunnen leren.)

Je hebt, als privépersoon, heel veel accounts. Bij elk account hoort een eigen, uniek wachtwoord. Wachtwoorden zijn niet recyclebaar. Dat is lastig, maar je solliciteert naar grote problemen als je je niet aan deze hygiënemaatregel houdt: diefstal van het wachtwoordbestand bij bedrijf A geeft dan toegang tot al je accounts bij bedrijven B tot en met Z. Ze hoeven heus niet te wéten waar je overal een account hebt; ze kunnen gewoon de voor de hand liggende bedrijven proberen, van bol.com tot Zalando. De belangrijkste letter zit in het midden: de M van mail. Wie toegang tot jouw mailaccount heeft, kan alle accounts resetten via de wachtwoord-vergeten-functie van de desbetreffende sites – en zo dus ook toegang krijgen tot de accounts waarvoor je wél een uniek wachtwoord gebruikt. Je mailwachtwoord is net zo belangrijk als het wachtwoord van je bank.

Nu heb ik je opgescheept met een gigantische berg aan wachtwoorden. Maar geen nood: there’s an app for that! Dergelijke apps heten password managers en doen doorgaans meer dan alleen maar je wachtwoorden onthouden: ze verzinnen ze ook voor je. Wij mensen zijn slecht in het bedenken van moeilijke wachtwoorden, maar omdat een app geen last heeft van wachtwoordamnesiefobie (de vrees om wachtwoorden te vergeten) kan hij héél moeilijke wachtwoorden bedenken. De crux zit hem overigens in de lengte ervan. Complexiteit (hoofd- en kleine letters, cijfers enzovoorts) speelt daarbij een ondergeschikte rol. Jijzelf hoeft maar nog één wachtwoord te onthouden: dat van je password manager. Zorg voor een lang wachtwoord, liefst een passphrase (een zin). Schrijf dat voor de zekerheid op een briefje en berg het op een veilige plek op (en vergeet niet waar dat was…). Meestal zul je de app met je vingerafdruk kunnen openen, maar soms heb je toch weer dat wachtwoord nodig. Deze apps werken vaak samen over meerdere apparaten, zoals je telefoon en de browser op je computer. Let dan even op als je die computer deelt met huisgenoten: als je in de password manager ingelogd blijft, dan kunnen anderen ook bij je accounts.

Nog zo’n moetje is 2FA, dat voor two-factor authentication staat. Authenticatie is het proces van controleren of je bent wie je zegt te zijn. Gebruik je daarvoor alleen een wachtwoord, dan is dat één factor. Voeg je daar ‘iets wat je hebt’ aan toe, dan is dat de tweede factor. Vaak werkt dat via sms; de achterliggende gedachte is dat je fysiek moet beschikken over het bij die site geregistreerde telefoonnummer om de code die je krijgt toegestuurd in te kunnen vullen. Stel 2FA overal in waar het kan.

Je kunt je e-mailadres(sen) registeren bij haveibeenpwned.com. Je krijgt dan bericht als jouw adres in een wachtwoorddiefstal is meegegaan. De Australische beheerder van die site is een alom gerespecteerde beveiligingsexpert.

Ik moet nog even terugkomen op de laatste zin van de eerste alinea. Ja, je kunt inderdaad mail ontvangen waarvan je zelf de afzender lijkt te zijn. Het is kinderlijk eenvoudig om een willekeurig e-mailadres als afzender in te vullen, laat je daar dus niet door van de wijs brengen. Dat jouw adres daar staat bewijst niet dat jouw e-mailaccount gehackt is.

In verband met de aankomende korte werkweek verschijnt de volgende Security (b)log over twee weken.

En in de grote boze buitenwereld …

... kun je in deze quiz meer leren over wachtwoorden en andere beveiligingsonderwerpen.

https://johnopdenakker.com/security-awareness-quiz-questions/

... zijn ook bedrijven het slachtoffer van nepmails.

https://www.security.nl/posting/657175/Webwinkel+Wehkamp+via+nepmails+voor+144_000+euro+opgelicht

... waarschuwt de overheid voor coronamisbruik.

https://digitaltrustcenter.nl/nieuws/wees-alert-op-coronamisbruik

... geldt CISSP voortaan in heel Europa als een mastertitel.

https://www.infosecurity-magazine.com/news/cissp-equal-masters-degree/

... wijdt het nationale beveiligingsbeleid van Polen één pagina aan cybersecurity.

https://www.bbn.gov.pl/ftp/dokumenty/National_Security_Strategy_of_the_Republic_of_Poland_2020.pdf

... werkten Estland en Finland samen aan een handboek voor praktische nationale cybersecurity.

https://ega.ee/wp-content/uploads/2020/05/Kuberturvalisuse_kasiraamat_ENG.pdf

... beschermt de technologie van Apple en Google voor corona-apps je privacy.

https://blog.1password.com/contact-tracing/

... gaat de (nog te bouwen) Nederlandse corona-app die technologie gebruiken.

https://www.rtlnieuws.nl/tech/artikel/5115771/overheid-maakt-nieuwe-corona-app-eind-mei-de-eerste-test

... lekken veel Android-apps gegevens door een configuratiefout.

https://tweakers.net/nieuws/167130/data-duizenden-android-apps-zijn-te-vinden-door-slechte-database-implementatie.html

... is de grootste geldautomatenfabrikant van de VS getroffen door ransomware.

https://krebsonsecurity.com/2020/05/ransomware-hit-atm-giant-diebold-nixdorf/

... bellen deze tech support scammers jou niet. Ze vragen jou om hen te bellen.

https://krebsonsecurity.com/2020/05/tech-support-scam-uses-child-porn-warning/

... kunnen icoontjes in de browser je ook al geld aftroggelen.

https://www.helpnetsecurity.com/2020/05/07/favicons-card-skimmers/

... duikt een variant op de Zwartepietendiscussie op in beveiligingsland.

https://www.grahamcluley.com/blacklist-whitelist-terminology/

... zijn ook air-gapped computers niet veilig voor aanvallen.

https://www.security.nl/posting/657067/Trend+Micro+ontdekt+aanvallen+tegen+militaire+air-gapped+netwerken

... had deze malware zich heel goed verstopt in de Play Store.

https://www.security.nl/posting/657035/Malware+in+Google+Play+Store+blijft+vier+jaar+lang+onopgemerkt

... graaide de overheid gretiger in de gegevens van Facebook.

https://www.security.nl/posting/656821/Overheid+vraagt+Facebook+vaker+om+gegevens+van+gebruikers

Commotie

“Ja, dat daar, moeten we daar iets mee?!”, kwam een collega de kamer binnengestormd, wijzend op de krantenpagina op mijn beeldscherm waar in chocoladeletters vanaf spatte: “Verander NU uw wachtwoord - Zoekmachine met 3,3 miljoen Nederlandse wachtwoorden massaal geraadpleegd”. Gemakshalve had de krant, bij wijze van voorbeeld, onze domeinnaam in de zoekmachine ingevuld en ruim driehonderd hits gescoord. Ja, daar moesten we inderdaad iets mee. Je wilt niet het verwijt krijgen dat je je in stilzwijgen hult over iets dat all over the news is.

De zoekmachine leverde een e-mailadres en een wachtwoord, maar dan in de vorm: ab.xyx*****@onsdomein.nl – pq*******. Een deel van de informatie was om juridische redenen vervangen door sterretjes. Van de wachtwoorden werden altijd de eerste twee tekens getoond, bij de e-mailadressen varieerde het aantal leesbare karakters (en in het krantenartikel hebben ze zelfs díé onleesbaar gemaakt). Dat maakte het lastig om die collega’s rechtstreeks te informeren. Een paar kon je er weliswaar zó uithalen, maar we achtten het onmogelijk om op die manier honderd procent correcte dekking te krijgen. De factor tijd speelde daarbij ook een rol: we wilden snel communiceren. Bovendien was het vrijdag – dit soort dingen gebeurt altijd op vrijdag, als het moeilijk is om de juiste personen te pakken te krijgen.

We concludeerden dat we de gebruikers zélf op pad moesten sturen. Iedereen moest controleren of zijn wachtwoord in de lijst voorkwam. Daar zat echter nog een complicatie in. De zoekmachine was gevuld met gegevens uit eerdere hacks waarbij wachtwoordbestanden zijn buitgemaakt. Dergelijke hacks hebben plaatsgevonden bij onder andere LinkedIn, Dropbox, Playstation en eBay. Als het goed is, dan worden wachtwoordbestanden versleuteld opgeslagen. Het was daarom niet duidelijk of de twee getoonde tekens uit een versleuteld wachtwoord kwamen, of dat het de echte tekens waren. We wilden niet dat mensen denken: “O, dat is mijn wachtwoord niet” en vervolgens niets doen. Kortom: we gingen onze collega’s niet naar die zoekmachine sturen.

Wat dan wel? De Australiër Troy Hunt heeft enkele jaren gelden de website haveibeenpwned.com opgezet. Daar kan iedereen controleren of zijn e-mailadres en wachtwoord in een bekend geworden hack zijn buitgemaakt. Omdat Hunt en zijn website goed staan aangeschreven, durfden we onze gebruikers die kant wel op te sturen. Het bericht om dat te bewerkstelligen was gauw opgesteld. Nu moest het nog verspreid worden. Dat wilden we in eerste instantie doen middels een ICT-bericht, een vertrouwd intern communicatiekanaal dat medewerkers onder andere informeert over updates, verstoringen en gepland onderhoud. Nadeel van dit kanaal is echter dat het op basis van abonnementen werkt; je kunt als gebruiker zelf aangeven over welke categorieën je geïnformeerd wilt worden. Maar je kunt ook aangeven dat je helemaal niets wilt ontvangen, zelfs niet berichten uit het basisabonnement. Daarom deed de helpdesk, waar ik mijn tekst had aangeboden om het als ICT-bericht te verspreiden, de suggestie om een ander kanaal in te zetten: massmail. Via deze toepassing kun je een bericht versturen naar een bepaalde doelgroep of desnoods naar iedereen. En dat wilden we: met zekerheid iedereen bereiken. Zo gezegd, zo gedaan.

En toen ging het een beetje mis. Een ICT-bericht heeft een herkenbare afzender, een standaard kop (datum, onderwerp, voor wie bestemd enzovoorts), een korte introductie en een link naar het intranet. Als je een tekst, die eigenlijk bedoeld was om als ICT-bericht uit te sturen, één op één overzet naar een massmail, dan vallen die standaard kenmerken allemaal weg. En daardoor vertoonde het bericht opeens allerlei kenmerken van phishing-mail: geen aanhef, gevoel voor urgentie kweken, een externe link, verwijzing naar een autoriteit (ons team) en een vage afzender (MassmailNoReply). Onze actie bracht aan het licht dat onze medewerkers een heel behoorlijk beveiligingsbewustzijn hebben, want op de helpdesk werd het al snel na verzending van het bericht best wel druk – ondanks dat het vrijdagmiddag was. Zelfs zo druk dat ze mij belden: “Eh, die actie van jullie, die loopt een beetje uit de hand.” Ook de mail-beheerders kregen de nodige telefoontjes voor hun kiezen (een oneigenlijke sluiproute). Ik heb toen met spoed een bericht op het intranet laten plaatsen waarin stond dat de mail betrouwbaar en géén phishing-test was. Dat heeft kennelijk geholpen: de verwachte drukte op maandag bleef uit.

Een volgende keer doen we dit dus anders. Dan plaatsen we eerst een bericht op het intranet, het massmail-bericht krijgt een duidelijke afzender en slechts een verwijzing naar het intranetbericht, géén externe link. Bovendien lichten we eerst onze beveiligingscollega’s buiten de ICT in, want die kregen ook vragen van medewerkers. Daarnaast gaan we onderzoeken of het mogelijk is om ons hele domein centraal te testen als er weer eens een hack plaatsvindt, zodat we daar niet alle medewerkers mee hoeven te belasten. Dat zijn de belangrijkste verbeterpunten; we hebben er nog meer genoteerd.

Ik wil een paar pluimen uitdelen. Om te beginnen aan de collega’s die de massmail niet vertrouwden. Klinkt misschien gek, maar achteraf gezien hadden zij gewoon een punt. De volgende pluimen gaan naar de collega’s van de helpdesk, het mailteam en de intranetredactie die ons snel hebben geholpen. En ten slotte dank aan de collega’s die ons tips hebben gegeven waar we in de toekomst veel aan hebben.

In de massmail hebben we ook de door het NCSC aangereikte adviezen opgenomen om toekomstige problemen te voorkomen. Eén van die adviezen luidt: gebruik voor elke toepassing een uniek wachtwoord. Dat is echter gemakkelijker gezegd dan gedaan. Een password manager kan uitkomst bieden: een programma dat al je wachtwoorden beheert. Jij hoeft zelf alleen maar nog het wachtwoord van die password manager te onthouden. Bovendien kan de password manager sterke wachtwoorden genereren, waardoor jouw accounts nog beter beveiligd zijn.

De komende drie weken verschijnt er geen Security (b)log.

En in de grote boze buitenwereld …

… was er ook opeens een zoekmachine die wél de volledige wachtwoorden toonde. Die zoekmachine vraagt geld om jouw wachtwoord te verwijderen en doet bovendien aan coinmining.

https://www.rtlnieuws.nl/technieuws/zoekmachine-toont-volledige-wachtwoorden-miljoenen-nederlanders

... stijgt het aantal geslaagde phishing-aanvallen.

https://www.helpnetsecurity.com/2018/04/10/mobile-phishing-2018-report/

... vindt deze auteur dat we alles rondom wachtwoorden verkeerd doen. Ik vraag me alleen af waarom hij het met geen woord over password managers heeft.

http://josephsteinberg.com/why-you-should-ignore-everything-that-you-have-been-told-about-passwords/

... worden wachtwoorden deels overbodig gemaakt door nieuwe protocollen.

https://arstechnica.com/gadgets/2018/04/practical-passwordless-authentication-comes-a-step-closer-with-webauthn/

... kun je nagaan of jouw Facebook-gegevens bij Cambridge Analytica zijn terechtgekomen. Maar Facebook informeert je ook uit eigener beweging.

·         https://nakedsecurity.sophos.com/2018/04/10/how-to-check-if-your-facebook-data-was-shared-with-cambridge-analytica/

·         https://www.volkskrant.nl/tech/getroffen-door-het-dataschandaal-van-facebook-zo-check-je-nu-al-of-dat-het-geval-is~a4591759

... committeert Facebook zich nu toch wereldwijd aan de Europese privacywetgeving (AVG). Vorig week werd dat nog ontkend.

https://www.politico.eu/article/zuckerberg-facebook-eu-data-will-apply-privacy-standards-globally/amp/

... zal Facebook nooit een privacy-vriendelijk (want betaald) netwerk worden.

https://www.nrc.nl/nieuws/2018/04/11/wat-zou-een-veilig-facebook-ons-kosten-a1599091

... lekken de sites van diverse zorgverzekeraars informatie naar Facebook.

https://tweakers.net/nieuws/137311/bijna-helft-sites-nederlandse-zorgverzekeraars-heeft-facebook-tracking.html

... wil Facebook ook ziekenhuisgegevens verzamelen.

https://www.grahamcluley.com/facebooks-secret-plan-to-access-hospital-patient-records/

... mogen ziekenhuismedewerkers niet zomaar in medische dossiers snuffelen.

https://www.omroepgelderland.nl/nieuws/2312050/Waarschuwingen-en-ontslag-in-Gelderse-ziekenhuizen-om-inkijken-medisch-dossier

... waarschuwt Europol maar nog eens voor de gevaren van publieke wifi-netwerken.

https://www.europol.europa.eu/activities-services/public-awareness-and-prevention-guides/risks-of-using-public-wi-fi

... concludeert dit rapport dat ransomware de belangrijkste vorm van malware is. Andere publicaties maakten eerder melding van een verschuiving naar coinmining.

https://threatpost.com/ransomware-dominates-verizon-dbir/131102/

... valt er nog meer uit dat rapport te halen.

https://www.infosecurity-magazine.com/news/insiders-blamed-for-over-quarter/

... kunnen twee veilige systemen samen een riskante combinatie vormen. In dit geval: Netflix en Gmail.

https://www.theregister.co.uk/2018/04/10/gmail_netflix_phishing_vector/

... is een handesmissie naar China niet zonder gevaren. Maar dat neemt niet iedereen serieus.

·         https://www.volkskrant.nl/4591634

·         https://www.volkskrant.nl/tech/deelnemers-van-de-handelsmissie-naar-china-geven-hun-eigen-draai-aan-adviezen-van-het-ministerie~a4591665

... moet je geen historische feitjes over jezelf verklappen.

https://krebsonsecurity.com/2018/04/dont-give-away-historic-details-about-/

... legt een Amerikaan uit hoe verschillend Amerikanen en Europeanen over privacy denken. Opmerkelijk statement: “Almost no one in Europe uses the term ‘privacy’”.

https://www.sans.org/security-awareness-training/blog/data-protection-eu-vs-us-definition

... kun je een lek identificeren aan de hand van onzichtbare codes in een tekst.

https://www.tripwire.com/state-of-security/featured/secrets-invisible-zero-width-characters/

... liegen fabrikanten van Android-toestellen over geïnstalleerde patches.

https://www.wired.com/story/android-phones-hide-missed-security-updates-from-you/

... gaat Telegram in Rusland op slot omdat ze de inlichtingendiensten geen toegang tot de verzonden berichten geven.

https://www.security.nl/posting/558098/Russische+rechter+beveelt+blokkade+van+chat-app+Telegram