Geheimen verklappen

 

Afbeelding: Unsplash

Als ik vraag: “Wat is je wachtwoord?”, dan zeg jij: [je krijgt een halve seconde bedenktijd]. Als ik het op deze manier vraag, dan komt iedereen, naar ik mag hopen ruim binnen de bedenktijd, tot het enig mogelijke antwoord: “Dat zeg ik niet.” En toch landden deze week een paar voorbeelden op mijn bureau die mijn nekharen rechtop deden staan.

In het eerste geval startte een collega een chat met de helpdesk omdat hij niet in een bepaald systeem kon inloggen. De helpdeskmedewerker vroeg:

Welk wachtwoord gebruik je?

Windows of mainframe?

De hulpzoekende antwoordde:
              iloveyou246

Waarop de helpdeskmedewerker zich verslikte en (netjes) foeterde dat er geen wachtwoorden mogen worden gedeeld. De ander probeerde het nog met “ik deel geen wachtwoorden”, maar daar trapte de helpdesker natuurlijk niet in. De vrager reageerde nog met: “Ja maar je vraagt aan mij wat is je wachtwoord. Ik geef dit door zodat je mijn probleem kunt oplossen.”

Hoe kon het zo misgaan? Onder welke steen heb je gelegen als je nu nog niet weet dat een helpdesk nooit om je wachtwoord vraagt? En – een stapje verder dan bovenstaand relaas – dat als iemand je belt en zegt dat hij van de helpdesk is en jouw wachtwoord nodig heeft om iets te checken, deze persoon met honderd procent zekerheid niet van de helpdesk is, maar iemand met kwade bedoelingen? Je wachtwoord is van jou van jou alleen, basta!

Toegegeven, de vraagstelling van de helpdesk was ook niet helemaal zuiver. Door de vraag over twee regels te spreiden, zou je de eerste regel kúnnen interpreteren als vraag naar het wachtwoord. De helpdesk gaat nu kijken hoe ze dit kunnen verbeteren.

Het tweede geval ontlokte mij in eerste instantie een wat ongelovige glimlach, die helaas toch weer moest worden gevolgd door verontwaardiging. Deze collega schreef naar de helpdesk:

Bij inloggen op mijn PC wordt mijn gezicht (na vakantie) niet herkend en mijn code niet geaccepteerd.

Graag mijn gezicht weer opvoeren en pincode 375484 opvoeren. 

Los van de vele human interest-vragen die de eerste regel oproept, spreekt hier een verbluffende argeloosheid uit. Om te beginnen kan dit helemaal niet – de gebruiker moet dat zelf doen (en dat kan uiteraard pas als hij een weg heeft gevonden om in te loggen; uiteraard kan de helpdesk hem de juiste weg wijzen). En dat je je pincode of wachtwoord deelt met een vreemde, dat blijft toch wel heel bijzonder.

Ik leg het nog maar eens een keertje uit voor wie zich afvraagt waar ik mij zo over opwind. Iemand die jouw wachtwoord of pincode heeft, kan inloggen alsof hij jou is. Wat dan volgt kan grofweg variëren van een ludiek mailtje in de trant van “morgen taart voor iedereen” tot het opzoeken van gegevens en die doorspelen aan criminelen. En bij wie denk je dat de opsporingsdiensten komen aankloppen als onderzocht wordt wie er gelekt heeft? Juist ja. En klets je daar dan maar eens uit. Ik bedoel maar: het is echt in je eigen belang dat je wachtwoorden strikt voor jezelf houdt. En natuurlijk is het ook in het belang van de organisatie, die ‘herleidbaarheid van handelen’ hoog in het vaandel heeft staan. Je wilt altijd kunnen achterhalen wie wat heeft gedaan. Maar je wilt het vooral kwaadwillenden niet te gemakkelijk maken. Dat kan belangrijker zijn dan je kunt vermoeden.

 

En in de grote boze buitenwereld …

• heeft hier misschien ook iemand een wachtwoord gedeeld.
• het een wachtwoord-Excel op GitHub ook al geen goed idee.
• hoeft digitale autonomie niet zo moeilijk te zijn.
• maak je hopelijk geen gebruik van First VPN (spoiler: werkt niet meer).
• is Defensie nu wél alert op trackers.
• zijn quantumcomputers belangrijk voor informatiebeveiliging. Dit artikel vertelt je wat je erover moet weten.
• vraag ik me af hoe je open source software kunt stelen.
• blijft ShinyHunters slachtoffers maken.
• begint typosquatting aan een tweede leven.

 

Lengte loont

Klik op de afbeelding voor een grote versie

Deze week is de Security (b)log er iets eerder vanwege een paar vrije dagen

Precies een jaar geleden stelde collega Alexander een vraag. Sommige onderwerpen liggen wat langer te rijpen. De vraag gaat over wachtwoorden en de wenselijkheid om die lekker ingewikkeld te maken. Hij stuurde een bekend schema mee dat bedoeld is om inzichtelijk te maken hoe snel wachtwoorden kunnen worden gekraakt. Ik zal het schema voor je ontleden, want het bevat veel interessante informatie.

Ik begin met de kop. Daarin is de term ‘brute force aanval’ van belang: letterlijk een aanval met brute kracht. Maar waarop dan? Kijk, een systeem waarop jij wilt inloggen, heeft een bestand waarin alle accounts staan. Het systeem moet immers kunnen controleren of je erin mag. Tenzij de ontwerper van zo’n systeem onder een steen heeft gelegen, staat het wachtwoord daar niet leesbaar in. Want dan zou iemand, die het bestand met accounts weet te bemachtigen, vrij spel hebben. Nee, de wachtwoorden zijn versleuteld opgeslagen. Als jij inlogt, dan wordt het wachtwoord, dat jij invult, eveneens versleuteld. Zo kan het toch vergeleken worden met het opgeslagen wachtwoord.

Een aanvaller heeft veel pogingen nodig om je wachtwoord te kraken. Als hij gewoon maar begint om op een website met jouw account in te loggen, wordt je account bij de meeste systemen na een aantal foute pogingen vergrendeld (‘gelockt’). Dat is dus een beveiligingsmaatregel tegen brute forcing. Dat schiet niet op voor die aanvaller. Hij wil dan ook liefst het complete wachtwoordbestand in handen krijgen, zodat hij er offline rustig op los kan proberen zonder telkens gelockt te worden. Daarvoor moet hij natuurlijk wel eerst even inbreken op zijn doelwit.

Laten we ervan uitgaan dat hij het bestand heeft weten te bemachtigen. Hij gebruikt vervolgens een krachtige computer om de accounts in dat bestand aan te vallen. Het schema geeft aan hoeveel tijd daarvoor nodig is. Verticaal loopt de lengte van de wachtwoorden op van vier naar achttien. Horizontaal loopt het aantal verschillende tekens, waaruit het wachtwoord kan bestaan, steeds verder op. In de eerste kleurrijke kolom zijn er slechts tien verschillende tekens: de cijfers nul tot en met negen. In de volgende kolom zijn het er al 26, vervolgens 52 en dan 62. In de laatste kolom, die staat voor alle mogelijk  tekens – cijfers, hoofd- en kleine letters, symbolen (! @ # $ % ^ & * ( ) - _ = + enz.) – hebben we het meestal over 94 tekens (‘printable ASCII’).

Linksboven zie je dat een wachtwoord dat uit vier cijfers bestaat geen weerstand biedt. Er zijn slechts tienduizend verschillende wachtwoorden mogelijk, wat betekent dat de aanvaller gemiddeld vijfduizend pogingen moet doen. Een fluitje van een cent. Rechtsonder vind je het andere uiterste: achttien tekens lang, gekozen uit 94 tekens. Daarmee kun je 3,28 x 10³⁵ verschillende wachtwoorden maken – dat is grofweg een drie met 35 nullen. Die krachtige hackcomputer doet er volgens de tabel 463 triljoen jaar over om het te kraken. Een triljoen is duizend miljard; het universum is slechts 13,8 miljard jaar oud.

Wat ik veel interessanter vind, is dat er in de tabel verticaal meer gebeurt dan horizontaal. Met andere woorden: lengte is veel belangrijker dan het aantal mogelijke tekens. Als je een wachtwoord van alleen cijfers vier keer zo lang maakt, dan heeft de boef al tweeduizend jaar nodig. Daarentegen heeft uitbreiding van het aantal mogelijke tekens (bij gelijke lengte) geen noemenswaardig op de kraaksnelheid. En als je kijkt naar de regel van vijftien karakters, dan zie je dat het kraken van een wachtwoord, dat alleen uit kleine letters bestaat, al bijna een half miljard jaar duurt (en wat mij betreft had dat vakje gerust groen mogen zijn).

Conclusie: als een wachtwoord lekker lang is, dan hoef je je niet druk te maken over de complexiteit ervan. Met andere woorden: veel systemen eisen dat je minimaal 1 cijfer, 1 kleine letter, 1 hoofdletter en 1 symbool gebruikt, maar dat is niet nodig, mits je wachtwoord lang genoeg is. Die lange wachtwoorden laat je comfortabel genereren en beheren door je password manager. Wachtwoorden, die je daar niet in kwijt kunt – bijvoorbeeld het hoofdwachtwoord van je password manager – kies je zo, dat jij ze wel kunt onthouden, maar iemand anders ze niet gemakkelijk kan raden. Bijvoorbeeld ‘Mijn wachtwoord hack je niet’ of ‘iz2bbsodw1wtewbw’ (ik zag 2 beren broodjes smeren…).

 

En in de grote boze buitenwereld …

• Password managers zijn niet onder alle omstandigheden waterdicht (maar de voordelen wegen nog steeds op tegen de nadelen).
• Deze Canadese tv‑reportage bespreekt de privacy‑risico’s van Chinese auto’s.
• Dit is het lange verhaal van een security‑onderzoeker die bedreigd werd en terugsloeg.
• Een nieuwe internationale alliantie gaat werken aan betrouwbare technologie (noot: ASML wordt niet genoemd maar is ook lid).
• De Britse overheid neemt maatregelen om kinderen online beter te beschermen.
• Soms moet je een update uitbrengen om het updaten zelf beter te beveiligen.

 

Vechten tegen de bierkaai

 

Afbeelding via Pixabay

Mijn zoekopdracht leverde 359 documenten op. Toegegeven, een paar daarvan gingen over onderzoeken naar en klaagzangen over het gezochte fenomeen. Maar dan blijven er toch nog zo’n 350 documenten over waarin collega’s het zonder blikken of blozen hadden opgeschreven: Welkom01.

Als je vroeger van vakantie terugkwam en je wachtwoord niet meer wist, dan moest je de helpdesk bellen. Je kreeg dan vaak Welkom01 als nieuw wachtwoord. Ik ben toen eens met ze gaan praten en heb ze uitgelegd dat dat niet zo’n goed idee was. Iederéén kreeg immers datzelfde wachtwoord. Waarschijnlijk was de gedachte: dit is gemakkelijk voor de gebruiker en na de eerste keer inloggen moet hij toch een nieuw wachtwoord instellen. Maar ja, als ik slechte bedoelingen heb en op voorhand al weet wat andermans nieuwe wachtwoord zal zijn, dan kan ik daar wel wat mee. De helpdesk kwam tot inzicht en stapte over op gegenereerde – en dus onvoorspelbare – wachtwoorden. Alweer jaren geleden is deze dienstverlening weggeautomatiseerd en zo kwam er een eind aan Welkom01.

Maar niet heus, getuige de resultaten van mijn zoekopdracht. Overigens wist ik al vooraf wat ik zou aantreffen, want het blijft een gevecht tegen de bierkaai. Wij zijn een organisatie waar applicaties en infrastructuur worden gebouwd. Natuurlijk moeten die spullen getest worden. Dat gebeurt vaak geautomatiseerd of op z’n minst in teamverband. Voor zo’n test heb je geldige user-id’s nodig, met bijbehorende wachtwoorden. En juist omdat het testen geen solitaire bezigheid is, moeten alle teamleden, die erbij betrokken zijn, de wachtwoorden van de testaccounts hebben. Dat snap ik. Twee andere dingen snap ik niet: het wachtwoord dat men kiest, en dat ik daar achter kan komen.

Om maar met het dat eerste te beginnen: kom op mensen, Welkom01! Kun je nou echt niks beters bedenken? Ja oké, er zitten een hoofdletter en maar liefst twee cijfers in. Poeh poeh. De grote zwakte zit ‘m natuurlijk in de voorspelbaarheid van het wachtwoord. Er wordt besmuikt gegniffeld als dit wachtwoord wordt genoemd, omdat we met z’n allen weten dat het op zoveel plekken wordt gebruikt. Effectief betekent het dat ik je wachtwoord weet. En velen met mij. Je weet dat dit niet de bedoeling is.

Mijn tweede sneer is voor het feit dat ik honderden hits op mijn zoekopdracht kreeg. Ik heb geen speciale toverkracht die mij toegang tot alle informatie geeft. Dat betekent dat al die interne pagina’s, waarop wordt uitgelegd hoe en waarmee je van alles en nog wat kunt testen, niet zijn afgeschermd. En dat dus iedereen erbij kan. Je legt daarmee je huissleutel onder de bloempot, beste collega.

Ach, het zijn toch maar testaccounts, hoor ik je zuchten. In productie zouden we dat nooit doen! Waarom dan wel in test? Het is een kleine moeite om (a) een fatsoenlijk wachtwoord te laten genereren en (b) dat wachtwoord vervolgens fatsoenlijk te beschermen. Het heeft allemaal te maken met houding en gedrag. Zoals ik ervan overtuigd ben dat veilig gedrag in je privé-omgeving uitstraalt naar het werk, zo ben ik er ook van overtuigd dat je gedrag in de ene omgeving je gedrag in de andere beïnvloedt; laksheid links leidt gemakkelijk tot een “ik doe het rechts ook maar even zo”-houding als er snel iets moet worden gefixt. En als het probleem is opgelost, vergeet iedereen dat er nog iets moest worden rechtgezet.

Vroeger viel het misschien nog wel mee. Toen had je een strikte scheiding tussen ontwikkel- en beheerwerkzaamheden. Met de komst van devops is die grens vervaagd: in veel teams voeren alle medewerkers alle werkzaamheden uit – dus zowel development als operations, ofwel: ze ontwikkelen én beheren. En moeten dus overal bij kunnen. Dwars door alle OTAP-straten heen. Dat zijn gescheiden omgevingen voor ontwikkeling, test, acceptatie en productie. Maar als je overal bij kunt, dan kun je gedrag uit de ‘minder spannende’ omgevingen kopiëren naar de omgeving waar het er sowieso wél toe doet. Dat maakt ons kwetsbaar.

De mythe wil dat productiegegevens uitsluitend in de productieomgeving staan. Ja, vroeger gebruikten we testbestanden die uit zuiver fictieve data bestonden. Na een functionele aanpassing werden ook de testdata aangepast of uitgebreid. Dat vindt men tegenwoordig te bewerkelijk. En dus worden (geanonimiseerde) productiedata gebruikt. Maar het blijven productiedata. Combineer dat met die andere mythe dat álle medewerkers superbetrouwbaar zijn, en je hebt een recept voor ongelukken. We kijken graag weg als het om insider threat (dreiging vanuit de eigen organisatie) gaat, maar iedere organisatie heeft statistisch gezien recht op een bepaald percentage zwarte schapen. Maak het hen niet te gemakkelijk. Laten we afspreken dat al die simpele wachtwoorden door iets fatsoenlijks worden vervangen en dat ik al die pagina’s met wachtwoorden, die ik nu open heb staan, volgende week niet meer kan benaderen.

 

En in de grote boze buitenwereld …

• kan dit nieuwe ENISA-dreigingenrapport niets over insider threat melden omdat te weinig meldingen in de openbaarheid komen.
• houdt insider threat niet op als iemand de organisatie verlaat.
• maakt de nieuwe versie van macOS diverse securitytools stuk.
• mengt Russische AI zich in de Amerikaanse verkiezingsstrijd. (Het artikel is een cadeautje van de krant, vandaar de lange link.)
• is een hackwedstrijd niet bedoeld voor echte aanvallen.
• heeft de FBI een Chinees IoT-botnet uit de lucht gehaald.
• maakt jouw apparatuur misschien ook deel uit van dat botnet.
• krijgt de Autoriteit Persoonsgegevens te weinig geld, vindt de AP.
• denken sommige mensen dat AI-camera’s een zegen voor de mensheid zullen zijn.

 

Explosief

 

Afbeelding via Pixabay

Boem! Een harde knal verscheurde de stilte in de woonkamer. Mijn vrouw, die daar alleen was, keek geschrokken om zich heen. Wat wás dat? Een paar tellen later hoorde ze geklater. Haar ogen volgden haar oren en vonden de bron van het geluid. Toen riep ze naar boven, met krachtige urgentie in haar stem: “Stop met wat je doet en kom nú helpen!”

Vijf hartslagen later zag ik roze vloeistof uit de vitrinekast druipen. Daar, in die kast, zijn we enkele jaren geleden een bescheiden verzameling Mooie Flessen begonnen, toen ik de kinderen op vakantie in Zuid-Frankrijk wees op een fles wijn waarop de gendarme van Saint-Tropez was afgebeeld – een hectische filmrol van de Franse komiek Louis de Funès uit mijn jeugd (nou ja, de film zelf is ouder dan ik, maar ik heb vroeger diverse films met deze acteur gezien – kent u Fantomâs nog?). Ondanks dat ik geen alcoholische dranken lust, kreeg ik die fles cadeau van mijn zoon, omdat hij de sentimentele waarde snapte. Sinds een recent verblijf in Kroatië staat er ook een mooie fles wodka van Old Pilots, versierd met luchtvaartsymbolen – die hebben we gekocht voor mijn zoon, de aanstormende piloot.

Mijn dochter deed een poosje geleden ook een duit in het zakje. Ze was met school naar Spanje geweest en had een flesje met felroze inhoud meegebracht. Voor in de vitrinekast. En dat flesje was dus ontploft. Nou ja, ontploft – de dop was eraf gesprongen en op een centimeter of twee na was alle inhoud eruit gelopen. Let wel: het flesje stond nog rechtop. De vloeistof zocht zijn weg naar lagen gelegen delen van de kast. Gewapend met hand- en poetsdoeken gingen we het goedje te lijf. Ik moest zelfs nog een kastdeurtje losschroeven om overal bij te kunnen. Uiteindelijk bleef de schade beperkt tot die ene vervormde schroefdop. Wat was hier in hemelsnaam gebeurd?

Op het flesje van 250 ml staat kombucha. Wikipedia zegt hierover, onder het lemma komboecha: “een drankje dat ontstaat uit fermentatie van gezoete thee door azijnzuurbacteriën- en gistculturen”. En op het etiket lees ik dat je het spul “altijd in de koelkast” moet bewaren, tussen de twee en acht graden. Dat zijn omstandigheden die onze vitrine niet kan waarmaken. En dus ontwaakten die bacteriën, spanden samen met de gist en vormden gas. Totdat de druk een kleine twee maanden later teveel werd voor die arme schroefdop, die maar één uitweg zag: omhoog. En vervolgens is zo’n beetje alle inhoud uit het flesje geborreld.

Een paar blogs geleden pleitte ik voor het lezen van handleidingen. Daar wil ik nu graag etiketten aan toevoegen. Hoewel ik me afvraag of dat geholpen zou hebben. Als je toch niet van plan bent om iets te consumeren, waarom zou je het dan koelen? En als ik de ingrediëntenlijst al had gelezen, zou ik me dan gerealiseerd hebben dat ik iets explosiefs in handen had? Ik denk het niet. Achteraf ben ik dan ook verbaasd dat het spul überhaupt verkocht mag worden, of dat er niet op z’n minst een duidelijke waarschuwing op het etiket prijkt. Het goedje schijnt overigens ook omstreden te zijn vanwege onbewezen gezondheidsvoordelen. Sterker nog, er kunnen  zelfs heel gevaarlijke schimmels in het drankje voorkomen. Misschien is het maar goed dat het spul nu weg is. Het lege flesje staat trouwens wel weer in de vitrine, als herinnering aan het schoolreisje én aan de ontploffing.

Soms is het handig om handleidingen en instructies te doseren, omdat het anders overweldigend kan zijn. Deze week zag ik daar een slim voorbeeld van. Ik neem sinds kort een nieuwe dienst af van een bedrijf. Na een paar dagen stuurden ze me een mailtje met de strekking: beveilig uw account optimaal, zet tweefactorauthenticatie (2FA) aan. Dat doen ze goed. Zo helpen ze mensen die geen handleidingen en etiketten lezen toch een stapje vooruit. Overigens had ik 2FA al aangezet zodra ik zag dat ze dat ondersteunen. Heb jij het ook overal waar dat kan aan staan? Het beschermt je als ooit een van je wachtwoorden mocht uitlekken, bijvoorbeeld door een hack bij een organisatie waar je een account hebt. Zonder 2FA ben je dan het haasje, en als je hetzelfde wachtwoord ook nog elders zonder 2FA gebruikt (foei), dan moet je die wachtwoorden als een haas wijzigen.

Ik heb het al vaker gezegd: gebruik een wachtwoordmanager, waarin je niet alleen je wachtwoorden opslaat, maar die je ook wachtwoorden laat genereren. Minimaal twaalf posities lang, en omdat je die wachtwoorden toch zelden zelf hoeft in te typen, is vijftien nog beter. Zelfs het beste wachtwoord is niet bestand is tegen een hack bij een organisatie die jouw wachtwoord niet goed beveiligt; daarom zet je overal waar dat kan 2FA aan.

 

En in de grote boze buitenwereld …

• staat de EU misschien op het punt om client side scanning in chat-apps te verplichten.
• spreekt de baas van een van de chat-apps zich ferm uit tegen deze EU-plannen.
• kregen Noord-Amerikaanse cyberverzekeringen in 2023 flink meer claims te verwerken.
• pleit de politiek voor een Rijksmaildienst en een Rijkschatdienst.
• gaat dit artikel helemaal voorbij aan de beveiligingsaspecten van AI.
• kan cybercrime dodelijk zijn.
• is dat mailtje van Microsoft misschien helemaal niet van Microsoft.
• moet ook Nederland zich schrap zetten voor criminelen met gekloonde stemmen.
• wil Google z’n AI trainen met jouw Chrome-geschiedenis.
• beargumenteert Cyber Dad waarom je geen foto’s van je jonge kinderen zou moeten publiceren.
• voerde het Amerikaanse leger een antivaxcampagne op de Filipijnen met valse social media accounts.

 

 

Wachtwoorden - nóg een keer

 

Afbeelding via Pixabay

De Security (b)log van vorige week met de titel Wachtwoorden – ja alweer leverde een aantal vragen op die de moeite waard zijn om ze voor een breder publiek te beantwoorden. Dus daar gaan we, nóg een keer wachtwoorden!  

Er kwam een opmerkelijke werkwijze langs, die in gewichtige taal al gauw het label zero knowledge opgeplakt zou kunnen krijgen. Als een site om een wachtwoord vraagt, dan klikt de gebruiker iedere keer op “wachtwoord vergeten”. Doorgaans stuurt de site dan een herstelbericht naar het bij haar bekende e-mailadres. De link in die mail leidt je naar een pagina om een nieuw wachtwoord in te stellen. Daar ramt de gebruiker op een stel willekeurige toetsen, waarbij hij geen enkele moeite doet om het nieuwe wachtwoord te onthouden. Want de volgende keer doet hij gewoon weer hetzelfde. Of ik daar iets van wil vinden.

Mijn eerste twee gedachten hierbij zijn: “hé, wat creatief” en “oei, wat bewerkelijk”. De combinatie van die beide gedachten is: prima bruikbaar voor accounts waar je maar zelden komt. Je bestelt een cadeau op een site waar je nog nooit eerder was en waar je waarschijnlijk voorlopig niet meer hoeft te zijn, maar ze willen per se dat je een account aanmaakt. Lijkt me prima om dit systeem in dat geval te gebruiken. Maar voor accounts die je vaker nodig hebt lijkt het me minder bruikbaar; je bent dan telkens erg lang bezig om binnen te komen. Nog even een tip: je doet er goed aan om het wachtwoord eerst in de Kladblok of desnoods in een nieuw Word-document te typen en van daaruit naar de wachtwoordvelden te kopiëren, aangezien je anders een uitdaging hebt om in het tweede wachtwoordveld nog eens hetzelfde wachtwoord te typen. Daarna sluit je het bestand, zonder het op te slaan. Weet je trouwens wie erg goed is in het verzinnen van dat soort wachtwoorden? Password managers… (zie verderop).

Dat systeempje maakt overigens nog eens duidelijk dat het van groot belang is om je e-mail goed te beschermen. Immers: als een aanvaller toegang heeft tot je mail, dan kan hij zelf ook overal op “wachtwoord vergeten” klikken en vervolgens via het herstelbericht toegang tot al die sites krijgen – onder jouw naam.

Sommige mensen zijn sceptisch over wachtwoordkluizen. Zijn die apps wel veilig? Zou er niet toch een achterdeurtje in zitten? Het eerlijke antwoord: dat weten we niet, althans niet met zekerheid. Kijk, zo’n password manager is software, en software bevat per definitie fouten. Een deel van die fouten is van invloed op de veiligheid van het product. Bovendien draait een dergelijke app meestal niet geïsoleerd op jouw apparaat, maar synchroniseert het de gegevens via de cloud, zodat je je kluis op al je apparaten kunt gebruiken. Met andere woorden: jouw wachtwoorden staan meestal niet op je apparaat, maar op een computer ergens ter wereld. Onder het motto ‘toeval bestaat niet’ ontving ik net vanochtend een mailtje van LastPass, de password manager die ik vroeger gebruikte. Er was “ongebruikelijke activiteit” in de door hen gebruikte clouddienst. Hackers konden gebruikersinformatie inzien. Maar, zo benadrukken ze, de wachtwoorden zijn versleuteld en omdat jij de enige bent die de sleutel kent, lopen die geen gevaar. Ze laten in het midden of die versleutelde wachtwoorden wel zijn buitgemaakt. Maar in moedwillig aangebrachte achterdeurtjes geloof ik niet zo, zolang je maar geen password managers gebruikt die uit verdachte landen zoals Rusland of China komen. Sommige producten zijn open source, hetgeen iedereen de mogelijkheid biedt om het programma binnenstebuiten te keren (of dat ook echt gebeurt, is een tweede). En misschien vindt uitgerekend een kwaadwillende een kwetsbaarheid.

Het verplichte gebruik van een mix van hoofdletters, kleine letters, cijfers en overige tekens roept ook steeds vragen op. Het belangrijkste element van een goed wachtwoord is zijn lengte, maar ook het aantal karakters waar je uit kunt kiezen doet een duit in het zakje. Als je alleen kleine letters gebruikt, dan heeft een aanvaller, die je wachtwoord probeert te raden, een kans van 1 op 26 per positie dat hij goed zit. Gebruik je daarnaast ook hoofdletters, dan wordt die kans een stuk kleiner: 1 op 52. Gooi je er ook nog cijfers en 'rare tekens' bij, dan wordt de kans op goed raden nóg kleiner. Dat werkt vervolgens mooi door in de lengte van het wachtwoord: bij een wachtwoord van 3 tekens met alleen kleine letters is het aantal mogelijkheden 26*26*26 = 17.576. Gebruik je daarnaast hoofdletters, dan kun je daarmee al 52*52*52 = 140.608 verschillende wachtwoorden maken. Met wachtwoordlengte 8 ga je naar respectievelijk bijna 209 miljard en bijna 53,5 biljoen mogelijkheden. Merk op dat het uitbreiden van het aantal mogelijke karakters in dit voorbeeld slechts acht keer zoveel mogelijkheden geeft, terwijl het langer maken van het wachtwoord twaalf miljoen keer zoveel mogelijke wachtwoorden oplevert. Dat lijkt idioot veel, maar bedenk dat aanvallers vaak een heleboel computers aan het werk zetten om wachtwoorden te kraken. Vele handen maken licht werk!

Samenvattend: gebruik lange wachtwoorden, liefst gegenereerd door en opgeslagen in een betrouwbare app. En zoals altijd: zet overal waar dat kan tweefactorauthenticatie/tweestapsverificatie aan.

 

En in de grote boze buitenwereld …

• lees je hier wat er aan de hand is bij LastPass.
• kan het WK voetbal gemakkelijk leiden tot cyberdreigingen.
• wil de politie van San Francisco dodelijke robots inzetten.
• zijn privégegevens van alle leden en oud-leden van Forum voor Democratie gelekt.
• maakt TikTok jouw gegevens vandaag toegankelijk voor medewerkers in China.
• kun je dat ook op humoristische wijze uitleggen.
• profiteren criminelen nog steeds van Log4j.
• gaan Microsoft 365 en de AVG niet goed samen.
• hebben Russische hackers het gemunt op Nederlandse gasinstallaties.
• kijk je hier naar Mikko Hyppönen’s presentatie If it’s smart, it’s vulnerable.
• zit er een privacy-aspect aan het uploaden van je adresboek naar een online dienst.
• mag het NCSC eindelijk dreigingsinformatie delen met niet-vitale bedrijven.
• snuffelen sommige laptop- en telefoonreparateurs rond in je apparaat.
• moeten we een noodpakket in huis halen voor het geval een cyberaanval het land platlegt.

 

Wachtwoorden - ja, alweer

 

Afbeelding via Pixabay

Vandaag is het Nationale Check-je-wachtwoorden-dag. Dat is een initiatief van techwebsite Tweakers en het Openbaar Ministerie, en de intranetredactie vroeg mij om een extra blog aan deze dag te wijden. Ik sta altijd open voor verzoeknummers, waar ik dan op geheel eigen wijze invulling aan geef.

Eerst maar eens kijken naar de website die bij het initiatief hoort. Daar lezen we het volgende: Als internetter word je geconfronteerd met veel websites die vereisen dat je een gebruikersaccount aanmaakt en een wachtwoord kiest. Veel mensen vinden het moeilijk om al die verschillende wachtwoorden te bedenken en te onthouden. Dat heeft helaas als gevolg dat veel Nederlanders niet veilig omgaan met hun wachtwoorden, door bijvoorbeeld wachtwoorden te kiezen die makkelijk te raden zijn, of wachtwoorden te hergebruiken. Via de Nationale Check je Wachtwoorden Dag willen we mensen hiervan bewustmaken en uitleggen dat het bedenken en onthouden van goede wachtwoorden niet moeilijk hoeft te zijn.

De pagina met wachtwoordtips bevat tot mijn verbazing slechts vier tips. Laten we eens naar die tips kijken. Nummer 1: gebruik een wachtwoord van minimaal acht tekens. Mwah, acht tekens is tegenwoordig wat aan de krappe kant. Tegenwoordig wordt twaalf als veilig minimum beschouwd. Zou men bang zijn dat het dan te moeilijk is om het te onthouden? Daar hebben we een oplossing voor; zie verderop.

Tip 2: stel nooit één enkel woord in als uw wachtwoord. Mee eens, want dan staat je wachtwoord in het woordenboek en hackers zijn er erg goed in om buitgemaakte wachtwoordbestanden geautomatiseerd tegen een woordenboek aan te houden. Dat maakt een wachtwoord als autoband kansloos. Net zo kansloos overigens als aut0b@nd, want dat trucje staat ook in de hackerwoordenboeken.

De derde tip luidt: gebruik minimaal één woord en een cijfercombinatie die alleen u kent. Dus zoiets als autoband2022? Daarmee wordt het wachtwoord in ieder geval langer, en lengte is echt de belangrijkste factor. De geadviseerde cijfercombinatie wordt helaas al gauw een jaartal, verjaardag of de pincode van je bankpas, die het wachtwoord niet echt sterker maken en misschien zelfs een risico introduceren (ja, ik doel op die pincode).

Maar gelukkig zeggen ze in tip 4: gebruik geen geboortedata, adressen of iets anders dat eenvoudig is te raden. Helemaal mee eens. Deze tip is vooral bedoeld om doelgerichte aanvallen op specifieke personen af te wenden. Als een kwaadwillende niet een willekeurig iemand, maar jou op het oog heeft, dan gaat hij alles wat hij over je kan vinden gebruiken voor zijn aanval. Alle persoonlijke informatie, ook al is het nog zo ver gezocht, is dus taboe voor gebruik als (onderdeel van) wachtwoord.

Na de genummerde tips komen er toch nog een paar extra tips. Dat je je wachtwoord niet op een post-it moet schrijven. En over beveiligingsvragen – er zijn nog steeds sites die je verplichten om op te geven hoe je eerste huisdier/schooljuf/liefje heette, of soortgelijke vragen – zeggen ze dat je geen vragen moet kiezen waarop anderen het antwoord weten. Ik zeg het krachtiger: lieg! Wat is uw geboorteplaats? Banaan. Hoe heette uw eerste schooljuf? Fotolijstje. Natuurlijk moet je die leugens wel ergens opslaan, anders heb je er niks aan.

En dat brengt me op de beloofde oplossing om al die geheimen te onthouden: de wachtwoordkluis/ passwordmanager/wachtwoordmanager – een app die je wachtwoorden en andere geheime informatie voor je onthoudt, terwijl jij zelf alleen het wachtwoord van die app hoeft te onthouden. Volgens onderzoek in opdracht van Tweakers gebruikt slechts 7% van de Nederlanders zo’n app. Dat is echt betreurenswaardig weinig. Dus bij deze een oproep aan de overige 93%: download nú een wachtwoordmanager en neem ‘m in gebruik. Kijk even welke het beste bij jou past; op de website staan er drie, maar er zijn veel meer (pssst: mijn favoriet is Bitwarden). En nog een extra tip: wachtwoordmanagers zijn ook geweldig in het verzinnen van sterke wachtwoorden.

Dit is een Security (b)log special. Daarom (en vanwege een paar vrije dagen) is er deze week geen nieuws uit de grote boze buitenwereld.

De geschiedenis van de sleutel

 

Afbeelding via Pixabay

Je fiets, je auto en je huis hebben één ding gemeen: er zit een slot op. En bij al die sloten horen sleutels. Sloten hebben een lange geschiedenis – naar het schijnt bestaan ze al meer dan zesduizend jaar. Door de eeuwen heen dienden al die sloten hetzelfde doel: binnenlaten wie naar binnen mag, de rest buitensluiten.

Er zijn ook altijd mensen geweest die tóch ergens naar binnen wilden waar ze niet naar binnen mochten. De meesten halen hun schouders op en denken “jammer dan”, maar sommigen proberen echt binnen te komen. Die mensen noemen we inbrekers. Ze hebben een heel scala aan mogelijkheden om de opgeworpen barrière te slechten, bijvoorbeeld gereedschap voor lockpicking (waarmee je cilindersloten kunt openpeuteren), de Poolse sleutel (in gebruik bij fietsendieven) en de aloude koevoet. Waarbij moet worden opgemerkt dat die laatste niet wordt gebruikt om het slot te openen, maar eromheen te werken.

En toen werd de computer uitgevonden. Al snel – in 1961 – bedacht men dat daar ook een slot op moest. Ik heb zelf nog pc’s gebruikt die een fysiek slot hadden, maar het wachtwoord is toch het meest gebruikte mechanisme. Het wachtwoord op zich was niet nieuw; reeds de oude Romeinen maakten er gebruik van, en ik herinner me van oude wildwestfilms dat iedereen, die het fort wilde betreden, bij de poort het wachtwoord moest noemen.

In die goede oude tijd hadden we één wachtwoord. Dat kon je gemakkelijk onthouden, al was het alleen maar omdat er nog geen eisen waren waaraan het moest voldoen. In de moderne tijden hebben we allemaal tientallen accounts, op het werk en privé, en de wachtwoorden daarvan moeten aan de soms meest verschrikkelijke eisen voldoen, die ook nog eens overal anders zijn. Zo kwam ik er gisteravond achter dat mijn bank wél een bijzonder karakter eist, maar dat dat geen accent circonflexe (^) mag zijn. En terwijl ik daar best een reden voor kan bedenken, vraag ik mij dan gelijk af waarom dit karakter elders wel mag worden gebruikt.

Ik heb het al eerder geschreven: wachtwoorden hebben hun langste tijd gehad. Niet alleen omdat we het beu zijn, maar vooral omdat ze (mede daardoor overigens) hun beveiligingswaarde verliezen. Ik durf wel te stellen dat iedereen, die geen password manager gebruikt, ofwel zijn wachtwoorden ergens opschrijft, ofwel zwakke wachtwoorden gebruikt (waar ik ook het gebruik van hetzelfde wachtwoord op verschillende plaatsen toe reken). Dat opschrijven hoeft overigens nog niet zo slecht te zijn, mits je het een beetje slim aanpakt. Een schrift met de titel “Al mijn wachtwoorden”, zoals negen jaar geleden op tv was te zien bij Ellen DeGeneres, is een minder goed idee. 

Biometrie is voor sommige toepassingen een mooi alternatief. Je telefoon ontgrendel je soepel met je vingerafdruk of met gezichtsherkenning. Zelfs vuurwapens worden ermee uitgerust (al is nog nooit zo’n smart gun verkocht, zegt Wikipedia). Er zijn ook robuustere – en dus duurdere – biometrische systemen die bijvoorbeeld je iris scannen, of je handpalm. Bij die laatste kan, behalve naar de vorm van je hand, ook worden gekeken naar het patroon van de aderen in de hand. Biometrie kan letterlijk diep gaan.

Een alternatief voor het inloggen bij websites is de FIDO-standaard (Fast Identity Online). Bij gebruik van FIDO registreer je je eenmalig bij een website. Vervolgens kun je er inloggen met behulp van je mobiele apparaat of je computer, waarbij je eventueel een FIDO USB-key gebruikt, die je alleen hoeft aan raken om in te kunnen loggen. Maar ondanks ronkende teksten op de website van de FIDO Alliance (“FIDO is widespread and growing fast!”), heb ik het nog nooit op een website gezien. Grote spelers als Google, Facebook en Dropbox zijn aangesloten, maar kennelijk niet voor Nederlandse gebruikers.

Veranderen is moeilijk, zo blijkt maar weer. Maar ooit zullen er mensen zijn die niet meer weten wat een wachtwoord is, net zoals er nu al miljoenen mensen rondlopen die de tijd zonder computer en smartphone niet hebben meegemaakt, of mensen die niet weten wat een floppy is. Tot die tijd: gebruik een password manager. En overal waar het kan twee/multifactorauthenticatie (2FA/MFA, ook wel tweestapsverificatie genoemd).

 

En in de grote boze buitenwereld …

• vinden veel mensen unieke wachtwoorden te veel gedoe.
• denken ook veel mensen, die zich geen zorgen maken om hun online veiligheid, dat ze hun zaakjes goed voor elkaar hebben.
• helpt deze website je om een overzicht van al je slimme apparaten te maken, en geeft ze je vervolgens tips voor het updaten ervan.
• is er ook kritiek op de kritiek op het nieuwe cloudbeleid van de overheid.
• moeten we vaker aangifte doen van cybercrime.
• vindt de Duitse overheid iPhones en iPads best wel veilig.
• doen veel kleine bedrijven niet aan security awareness.
• volgt TikTok je ook als je er zelf helemaal geen gebruik van maakt.

 

Uitroeptekens

 

Afbeelding: ANWB

Tien jaar geleden schreef ik op vrijdag 13 januari iets over het fenomeen vrijdag de 13^e. Moet ik dan vandaag een ingenieuze 1-aprilgrap  bedenken? Nee, laat ik dat maar niet doen. Want ik kan wel lollig uit de hoek komen, maar het bedenken en uitvoeren van zo’n goeie grap laat ik toch graag aan anderen over. Zoals aan de HEMA, die vandaag de binnenstebuiten boxershort verkoopt: de onderbroek van vandaag én morgen.

U bent dus gewaarschuwd: het is 1 april. In het verkeer hebben we een speciaal verkeersbord om voor allerlei soorten gevaar te waarschuwen: de driehoek met rode rand en een stevig uitroepteken in het midden. Vroeger was dat trouwens geen uitroepteken, maar slechts een dikke verticale streep, zonder punt eronder – alsof het verboden was om een symbool te gebruiken dat iedereen gemakkelijk zou begrijpen. Net zoiets als dat tuinhekje dat waarschuwt voor overstekende treinen.

Maar dat allemaal terzijde, want zoals de titel aangeeft ga ik het vooral over uitroeptekens hebben. En dat heeft een reden. Ik deed namelijk onlangs een risicoanalyse en vroeg aan de aanwezigen welke maatregelen zij hadden getroffen om hun systeem tegen een bepaalde dreiging te beschermen. Weet je wat ze zeiden? We hebben er in de handleiding uitroeptekens bij gezet! Ik houd wel van dergelijke creativiteit. Men heeft kennelijk onderkend dat een bepaalde stap in de installatiehandleiding belangrijk is voor de beveiliging van het systeem en heeft daar aandacht voor gevraagd door het universele attentiesymbool te gebruiken. Terwijl dat simpele symbool, bestaande uit een streep en een punt, daar niet eens voor bedoeld is: volgens Van Dale is het slechts een “lees­te­ken dat ach­ter uitroepen, be­ve­len, aan­spra­ken en wen­sen­de zin­nen ge­plaatst wordt”. Oh wacht, misschien biedt “wensende zinnen” een kans. Ze bedoelen natuurlijk zinnen als “Van harte gefeliciteerd!”, maar als je “wensen” in een andere betekenis leest, dan kan deze ook: “Ik zou willen dat je hier de nodige aandacht aan besteedt!”

Kan dat wel, een uitroepteken als beveiligingsmaatregel? Ach, het zal allicht helpen. Maar het is natuurlijk een illusie dat zo’n karakter op zichzelf de veiligheid van een systeem zou kunnen bevorderen. Als een maatregel belangrijk is – of dat nu met beveiliging te maken heeft of met iets anders – dan moet je ervoor zorgen dat je zeker weet dat die maatregel geïmplementeerd is en werkt. De goede werking ervan monitor je, zodat er ergens een alarm afgaat als er iets mis is. Dat signaal wordt vervolgens geautomatiseerd of door een mens beoordeeld en zo nodig wordt er actie ondernomen.

Als alle zinnen in een tekst uitroeptekens bevatten, dan gaat de attentiewaarde ervan al gauw verloren! Net als bij die collega, die álle mailtjes met de markering ‘urgent’ verstuurt! Bovendien wekt het irritatie! Oké, je snapt mijn punt: teveel alarmpjes zijn niet goed omdat een mens nu eenmaal focus nodig heeft, waar bepaalde symbolen bij kunnen helpen, tenzij het er teveel worden. Het kan niet zo zijn dat álles superbelangrijk is. Om diezelfde reden werken wij bij een risicoanalyse met een boodschappenlijstje. Aan het einde van zo’n analyse krijg je natuurlijk een overzicht van alle risico’s met de bijbehorende zwaarte (in vijf stappen van ‘zeer laag’ tot ‘zeer hoog’), maar je krijgt ook een apart lijstje waar alleen de hoge en zeer hoge risico’s op staan. Want daar hoort je aandacht naar uit te gaan.

Het uitroepteken is ook een gewild object in wachtwoorden. We worden vaak gedwongen om naast hoofd- en kleine letters en cijfers ook ‘speciale tekens’ te gebruiken. Steek even je hand op als jouw wachtwoord voor zo’n account eindigt met een uitroepteken. Ah, ik zie het al: heel veel handen. In 2017 kopte de Washington Post boven een artikel: “You added ‘!’ or ‘1’ to your password, thinking this made it strong. Science says no.” Ondanks dat het artikel al vijf jaar oud is, zijn de tips nog steeds actueel. Een belangrijk kenmerk van een goed wachtwoord is dat het niet voor de hand ligt. Een uitroepteken aan het eind is voorspelbaar. Psst… in een wachtwoord mag je uitroepteken ook in het midden staan! Maar natuurlijk laat jij je wachtwoorden door een password manager genereren en die weet dat soort dingen.

Ondertussen zit ik hier onbedoeld naar kerstmuziek te luisteren. Sky Radio heeft z’n 1-aprilgrap namelijk een bijzondere twist gegeven. Gisteren kondigden ze aan dat ze ons vanwege de sneeuwval zouden trakteren op een soort inhaal-witte kerst. En dan denk je dus: haha, leuk, daar trap ik niet in. Maar ik zit nu dus serieus naar Last Christmas van Wham! te luisteren. Dat uitroepteken hoort trouwens gewoon bij de naam van de band.

 

En in de grote boze buitenwereld …

• kun je het niet uitvoeren van monitoring moeilijk wijten aan het desbetreffende systeem.
• zijn Europese instellingen niet goed voorbereid op grote cyberaanvallen.
• worden gehackte e-mailaccounts van de politie en overheidsdiensten gebruikt om in de VS persoonsgegevens op te vragen bij tech-bedrijven.
• vecht een Oekraïense IT’er met toetsenbord en muis tegen de Russen.
• vindt Google dat de dominantie van Microsoft bij de Amerikaanse overheid een bedreiging voor de veiligheid is.
• echoot Log4j nog na in VMWare Horizon servers.
• maakten criminelen honderden miljoenen buit bij een online game.
• is het onverstandig om wachtwoorden in een spreadsheet op te nemen.
• zijn wereldwijd 65 e-mailfraudeurs aangehouden in een internationale politie-operatie.
• betichten nepmails van Europol en de Koninklijke Marechaussee mensen van het bezit van kinderporno.
• moeten straks ook gratis diensten aan het consumentenrecht voldoen.
• gaat je Mercedes informatie over de weg delen met de overheid.

 

Geeltje

Een paar weken geleden kwam mijn vrouw thuis van het tuincentrum. Ze had niet alleen de nodige kerstattributen bij zich, maar ook een foto waarvan ze dacht dat ik daar misschien wel iets mee kon. Na tien jaar is deze blog niet alleen een deel van mijzelf geworden, maar leeft mijn hele gezin mee. Vandaag is mijn vrouw jarig en dat maakt het extra leuk om haar foto vandaag te gebruiken. Van harte schat!

Informatiebeveiligers praten vaak over het spreekwoordelijke geeltje waarop een wachtwoord staat. Nou, zo spreekwoordelijk is dat papiertje dus helemaal niet. Bij dat tuincentrum hebben ze niet begrepen wat de bedoeling van een wachtwoord is en zo te zien vinden ze het lastig. Mocht u deze blog toevallig lezen, meneer Kleinbussink (algemeen directeur), doe er dan uw voordeel mee.

Op een kaartjesautomaat op het station zit geen wachtwoord, want daar moet iedereen gebruik van kunnen maken. Maar als een systeem wordt beschermd met een wachtwoord, dan is het kennelijk niet de bedoeling dat onbevoegden er gebruik van kunnen maken; de eigenaar van het systeem wil iets beschermen. Als medewerkers dat niet begrijpen, bijvoorbeeld omdat niemand het ze heeft uitgelegd, dan kun je hen niet kwalijk nemen dat ze niet aan informatiebeveiliging denken.

De foto legt meerdere fouten bloot. Ten eerste natuurlijk dat briefje zelf, dat daar zo pontificaal in beeld hangt – had het dan onder het toetsenbord geplakt. Dat er letterlijk op staat dat het om het wachtwoord gaat (“ww”) maakt het ook niet sterker. En over sterk gesproken: Kerst2021 is bepaald geen sterk wachtwoord, omdat het zo voor de hand ligt (ik kan niet wachten op de volgende kerstperiode, waarin we vast weer spullen uit het tuincentrum nodig hebben…). Verder impliceert het briefje dat iedereen gebruikmaakt van hetzelfde account. Afhankelijk van wat je daarmee kunt, hoeft dat geen probleem te zijn. Maar als je er bijvoorbeeld bestellingen mee kunt doen of ermee kunt mailen, dan hecht je er als bedrijf misschien toch belang aan dat je kunt achterhalen wie er op een bepaald moment achter de knoppen heeft gezeten.

Ik moet wel een slag om de arm houden, want ik ben niet bekend met de dynamiek van winkels in het algemeen en tuincentra in het bijzonder. Misschien hoeft er helemaal niets te worden beschermd, misschien biedt het account waar dit wachtwoord bij hoort geen toegang tot niet-openbare functies of gegevens. En misschien werkt het in zo’n winkel gewoon niet als iedereen steeds met zijn eigen account moet in- en uitloggen. Maar zelfs dan: hoe moeilijk kan het zijn om alle medewerkers een wachtwoord uit het hoofd te laten leren – zeker als het zo’n makkelijk wachtwoord is?

Dan wordt het nu tijd om de hand in eigen boezem te steken. Ik heb waarschijnlijk geen collega’s die wachtwoorden etaleren zoals op de foto te zien is. Maar ik heb wél collega’s die wachtwoorden noteren op plekken waar ze niet thuishoren. En dan gaat het heus niet om wachtwoorden van persoonlijke accounts – nee, het gaat bijvoorbeeld om de wachtwoorden van niet-persoonlijke accounts die in de testomgeving worden gebruikt. Het is handig als iedereen binnen een team die gemakkelijk kan opzoeken. De toegang is echter vaak niet beperkt tot teamleden. Bovendien zijn het vaak tranentrekkend slechte wachtwoorden. Terwijl je dergelijke accounts ook gemakkelijk in een password manager kunt onderbrengen en het wachtwoord daarvan alleen deelt met de belanghebbenden. En eens in de zoveel tijd wijzig je dat wachtwoord (en dan bedoel ik niet van xxx2021 in xxx2022), want er verlaat wel eens iemand het team nietwaar.

Binnenkort gaan we actie hiertegen ondernemen. Als lezer van deze blog heb je een voorsprong: breng de boel nú op orde zodat jouw team straks groen scoort. En tegen mijn soortgenoten bij andere organisaties zeg ik: ga er maar niet van uit dat dit bij jou niet voorkomt. Zoekt en gij zult vinden. En als je iets hebt gevonden, leg dan uit waarom dat zo niet kan, want als je collega’s het begrijpen, dan zijn ze eerder geneigd om te veranderen. Misschien wordt het dan toch nog een vrolijke Kerst2022.

 

En in de grote boze buitenwereld …

• heeft de politie 2.500 Nederlanders gewaarschuwd dat hun e-mailadressen en wachtwoorden zijn uitgelekt.
• baart het eventuele gebruik van de verdwijnfunctie voor Signal-chats door bestuurders zorgen.
• wordt de chat-app Telegram misschien geblokkeerd in Duitsland.
• mogen de kwetsbaarhedenspeurneuzen van het Nederlandse DIVD een mooie donatie van een Amerikaans securitybedrijf op hun bankrekening tegemoet zien.
• lees je hier meer achtergronden over DIVD (achter betaalmuur).
• liggen de gegevens van de gamers onder ons mogelijk op straat.
• hackt Noord-Korea zijn harde valuta bij elkaar.
• neigt het kabinet bij een cyberaanval eerder naar sancties dan naar een tegenaanval.
• kon een jeugdige hacker zich op afstand toegang verschaffen tot diverse Tesla’s.
• valt er geld te verdienen met het hacken van Tesla’s.
• moesten Amerikaanse gedetineerden in de cel blijven vanwege een ransomware-aanval op hun accommodatie.
• stapte een hotelketen door een ransomware-aanval versneld en radicaal over van Windows op CloudReady (Chrome OS) van Google.
• oordeelde de Oostenrijkse privacytoezichthouder dat het gebruik van Google Analytics in strijd is met de AVG.
• wordt het gebruik van Google Analytics hierdoor mogelijk verboden in Nederland.
• mag een bedrijf niet zomaar foto’s van medewerkers online zetten.
• vergoedt de bank geen geld dat je zelf naar een oplichter overmaakt.
• is online identificatie bij een bank nog niet zo gemakkelijk - voor beide partijen.
• kun je het 2G-netwerk op je mobieltje het beste uitschakelen (als dat op jouw toestel mogelijk is).

 

Twee stappen terug

“Beste beheerders, het wachtwoord van ons testaccount AABBCC01 is verlopen. Kunnen jullie dat resetten naar AABBCC00? Of blijft het wachtwoord gelijk aan de user-id?” Dit is een bijna letterlijke weergave van een mailtje van een testteam aan een beheerteam. Er wordt gevraagd om een nieuw wachtwoord, dat op één positie afwijkt van de user-id. Of daar zelfs gelijk aan is.

Ik kom daar zo op terug. Maar eerst dit. Oktober is traditioneel de cybersecuritymaand. Een maand, waarin wereldwijd extra aandacht wordt gevraagd voor de gevaren waarmee je te maken krijgt zodra je een voet op het internet zet. Voor veel mensen ligt dat tijdstip tegenwoordig onmiddellijk na hun geboorte, wanneer de trotse ouders de nieuwe wereldburger online zetten en daarmee zijn eerste persoonsgegevens lekken: naam, geboortedatum, foto. Het woonadres is voor een beetje googelaar gemakkelijk erbij te vinden. Ik ken – nog – geen gevallen waarbij de gegevens van baby’s misbruikt zijn, waarschijnlijk omdat bij hen niks te halen valt. Wat ik ermee wil aangeven is dat digitale presentie tegenwoordig zowat onvermijdelijk is en vaak buiten het medeweten en al helemaal zonder goedkeuring van de betrokkene plaatsvindt.

In Nederland vieren we de cybersecuritymaand met de campagne Alert Online (een initiatief van het ministerie van Economische Zaken en Klimaat). Deze korte naam geeft precies weer waar het om gaat: dat je alert bent als je online gaat. Want de tragiek van die geweldige uitvinding, het internet, is dat het een afspiegeling is geworden van het echte leven, compleet met pestkoppen, criminelen, spionnen en idioten. Om dit onder de aandacht te brengen én om de weerbaarheid te vergroten, organiseren tal van organisaties activiteiten. Die zijn voor een deel gericht op de eigen medewerkers, maar er zijn ook tal van activiteiten voor een breder publiek (vaak is deelname kosteloos, maar niet altijd).

Toen ik dat mailtje uit de eerste alinea onder ogen kreeg, verzuchtte ik: “Wat hebben we aan al die mooie awareness-programma’s en -activiteiten, als het al helemaal aan de basis misgaat? Jongens, we moeten een flinke stap terugdoen, want we zijn mensen kwijtgeraakt terwijl we dachten dat we flink aan het opstomen waren!” Want er is van alles mis met dat mailtje. Het begint ermee dat de aanvrager zijn wachtwoord niet zelf wijzigt, maar dat aan een beheerder overlaat, waardoor de geheimhouding wordt doorbroken. En de meest mensen beseffen tegenwoordig dat een wachtwoord, dat (bijna) gelijk is aan het user-id, niet in aanmerking komt voor de kwalificatie ‘sterk’. Oké, het gaat hierbij slechts om een account in een testomgeving, maar het op peil houden van een zekere basishygiëne is overál belangrijk. Net zoals ik ervan overtuigd ben dat veilig gedrag thuis uitstraalt op hoe je je in je werk gedraagt, zo bang ben ik dat onveilig gedrag in de ene omgeving meegenomen wordt naar een andere.

In de Luxemburgse stad Echternach vindt ieder jaar een processie plaats om Sint Willibrordus te herdenken. Tot 1947 werden in deze optocht steeds drie stappen vooruit gezet, gevolgd door twee stappen achteruit. Daar hebben we de uitdrukking “processie van Echternach” aan overgehouden voor zaken die moeizaam voortgang boeken doordat er steeds weer een stap terug moet worden gezet. Het lijkt er nu op dat we met beveiligingsbewustzijn op het punt zijn beland dat we een flinke stap terug moeten doen om de mensen, die we onderweg zijn kwijtgeraakt, weer aan boord te krijgen. En zo’n mailtje herinnert ons ook eraan dat we, terwijl we toch echt wel vooruitgang boeken, regelmatig in de achteruitkijkspiegel moeten kijken om te zien of iedereen ons kan bijbenen.

Op slechts 1 enkele dag in het jaar vieren we Moederdag, terwijl verreweg de meeste moeders het verdienen om vaker in het zonnetje te worden gezet. Het thema informatiebeveiliging komt er met een hele maand aandacht al wat beter van af. Moeders verdienen meer aandacht, digitale veiligheid vereist het zelfs. Deze twee kwamen onlangs op een onverwachte plek samen. De Amerikaanse informatiebeveiliger Micah Lee onderzocht een lijst van twaalfduizend wachtwoorden. Daarin kwam maar liefst zeven keer ‘Jemoeder1’ voor (‘je moeder’ is een populaire uitdrukking onder tieners).

En in de grote boze buitenwereld …

• heeft James Bond bewust geen iPhone.
• zou 007 anders goed op z’n digitale portemonnee moeten letten.
• wil nu ook de Duitse overheid weten hoe veilig Chinese smartphones zijn.
• vind je hier een top-10 van preventieve maatregelen tegen ransomware, en een stappenplan voor als het toch misgaat.
• heeft het ministerie van Buitenlandse Zaken het beleid geëvalueerd dat zich richt op cyberdreigingen van statelijke actoren.
• moet het hele middelbaar en hoger onderwijs op een SOC worden aangesloten.
• blokkeer je gemakkelijk iemand die je lastigvalt op social media, chat-apps of datingsites.
• neemt nu zelfs De Rechtspraak afscheid van de fax.
• verdwijnt een puber achter de tralies voor onder andere phishing.
• adviseert de NSA over het kiezen en beveiligen van VPN-servers.
• wil Bart Jacobs een privacy-vriendelijk sociaal netwerk starten.
• worden steeds meer virusscanners erg goed in hun werk.
• licht de overheid haar eigen gebruik van Facebook door.