Online veiligheid: de grootste risico's van het moment
De wereld van het vertrouwde, veilige en incrowd internet is niet meer. Op allerlei fronten dreigen veiligheidsrisico's, ze zijn aan de orde van de dag. Welke gevaren zijn het grootst en wat doe je er tegen?
Gestolen wachtwoord
Wachtwoorden zijn zo veilig als jij én een ander ze houden. Jij door niet te trappen in nepsites en phishing-mails om je kostbare wachtwoord afhandig te maken. Daarnaast is er een belangrijke rol weggelegd voor ‘een ander’, zoals de site of dienst waarvoor je een wachtwoord gebruikt. Als daar digitaal wordt ingebroken en alle wachtwoorden zijn gestolen, dan moge het duidelijk zijn dat dit een probleem is. Een probleem waarbij timing cruciaal kan zijn.
Hoe snel slaan de dieven toe met de buitgemaakte inloggegevens? En hoe snel zet het slachtoffer de oude wachtwoorden op slot? Belangrijk voor de gebruiker: hoe gemakkelijk, maar toch ook goed en veilig is de procedure voor het resetten van wachtwoorden? Moet er een favoriet dier worden gekozen uit een korte lijst? Dan is het wachtwoord überhaupt niet goed beveiligd.
Wordt er een nieuw wachtwoord aangemaakt en krijg je dat even toegemaild? Dat is zeker niet veilig. Allereerst omdat e-mail geen veilig communicatiemedium is. Maar ook omdat de aanbieder dan zelf de wachtwoorden kan inzien en dus bij diefstal direct ‘beschikbaar stelt’ aan de dieven. Beter is het om wachtwoorden te versleutelen. Daarbij is het gebruikte algoritme voor die encryptie van belang, maar ook technieken als hashing en salting.
Hashing is het omvormen van een (versleuteld) wachtwoord tot een unieke hash-code die niet zomaar valt terug te voeren naar de oorspronkelijke invoer. Let wel: niet zomaar. Want er zijn omvangrijke ‘woordenboeken’ met codes beschikbaar, handige tabellen om vlot door te rekenen en natuurlijk de algemene vooruitgang in rekenkracht, zoals in grafische processors die ook in krachtige cloud-clusters zijn te huren. Dit alles zorgt voor kraakbaarheid van zwakkere encryptie en hashing.
Het gebruik van salt moet de bescherming door hashing versterken. Dit gebeurt door het toevoegen van informatie aan het oorspronkelijke wachtwoord vóórdat het wordt gehashed. Belangrijk is dat dit toegevoegde zout wel willekeurig is én per gebruiker verschilt. Zonder salt kan een datadief namelijk gelijke wachtwoorden zomaar ontcijferen als hij een enkel wachtwoord plus de hash daarvan in handen heeft.
Meest voorkomende wachtwoord
Dit klinkt vergezocht, maar in de praktijk bleken veel gebruikers onwetend dezelfde wachtwoorden te verzinnen. Daaronder ook eenvoudige, onveilige - en dus zéér kraakbare - klassiekers als ‘123456’, ‘qwerty’, ‘wachtwoord1’, ‘abc123’, enzovoorts. De digitale inbraak bij zakelijk sociaal netwerk LinkedIn toont dit opnieuw aan. Bij die hack in 2012 leken toen de inloggegevens voor 6,5 miljoen gebruikers gestolen. Nu blijkt dat er toen 117 miljoen accounts zijn buitgemaakt. De wachtwoorden waren wel gehasht, maar niet van salt voorzien. Analyse van de online gedumpte LinkedIn-buit wijst uit dat ‘123456’ het meest gebruikt is, gevolgd door ‘linkedin’. De rest van de top 20 is niet bepaald beter.
Wat de impact van zwakke wachtwoorden nog erger maakt, is het feit dat individuele gebruikers nogal eens hetzelfde wachtwoord hanteren voor verschillende zaken. Diefstal voor de ene dienst, of inbraak daar, zorgt er dan voor dat alle accounts onveilig zijn. Hackers weten dit in de praktijk uit te baten. Zo zijn er gevallen bekend van berovingen bij PayPal-accounts dankzij een hack elders, zoals bijvoorbeeld bij een kleine site voor amateurboekenschrijvers.
Malware via Flash
De harde uitspraken die Apple-topman Steve Jobs in april 2010 deed over Adobe Flash blijken visionaire woorden te zijn geweest. De multimedia-afspeelsoftware van Adobe was volgens Jobs niet alleen bloatware, die computers overdadig belastte. Onveiligheid was het derde punt van zijn open brief waarin hij Flash hekelde. Vandaar ook dat de strak door Apple bestierde iPhone die Adobe-software niet toestaat. Maar ook het meer open Android heeft Flash uiteindelijk in de ban gedaan.
©PXimport
Niet verbazingwekkend, want computerkrakers blijken nogal voorstanders van Flash te zijn. Zij maken malware die slim gaten in de veelgeplaagde software misbruiken om binnen te komen op computers. Dat gebeurt veelal via besmetting van advertenties die via ads-netwerken worden getoond op gewone, nette websites. Dit is in Nederland al aan de orde geweest voor bijvoorbeeld NU.nl, de Telegraaf, Weeronline.nl, Wehkamp en Marktplaats.
Ook de beruchte surveillancefaciliteerders van Hacking Team blijken veel vertrouwen te hebben in Flash, specifiek in voorheen onbekende gaten (zogeheten 0-days) in die software. Dit is aan het licht gekomen door - ironisch genoeg - een digitale inbraak bij Hacking Team zelf. Daarbij is 400 gigabyte aan interne informatie buitgemaakt en geopenbaard. De hackers gehackt dus.
HTML 5
Het is al met al veiliger om - net als Apple - Flash geheel af te schaffen. Tegenwoordig is dat al grotendeels doenbaar, doordat HTML5 inmiddels veel van de mogelijkheden van Flash heeft overgenomen. Dat was wel anders toen Jobs zijn kruistocht tegen de Adobe-software begon. Afschaffen van Flash leidt tot ontwijking van een groot deel van de wapenwedloop met malwaremakers. Voor gebruikers die anno 2017 nog geen afscheid kunnen of willen nemen van Flash, is er nog een andere optie.
Het is namelijk al een stuk veiliger om Flash beter af te stellen. Webbrowsers als Mozilla bieden hiervoor de optie om Flash-elementen op websites standaard te blokkeren, waardoor ze niet worden afgespeeld en eventuele malware niet gelijk wordt uitgevoerd. Pas als je de Flash-content aanklikt, wordt die geactiveerd. Dit geldt dan per geval van Flash-content op een site en geeft dus geen brede permissie voor de Flash browser plug-in op alle bezochte sites. De meeste browsers doen dit tegenwoordig automatisch al. Flash, maar met mate.
Veilige antivirus?
Wacht even, securitysoftware gevaarlijk? Ja, en wel op twee verschillende manieren. Ten eerste is er het duidelijke gevaar van nep. Dit omvat nepmeldingen waarbij websites middels pop-ups waarschuwen dat je een virus of ander stuk malware op je pc hebt staan. Gelieve even híer te klikken om wat te doen aan dit gevaar, dat volgens de melding toch echt heel acuut is. Klikken op zo’n nepmelding kan je dan leiden naar een malafide site of voorbesmette webpagina, die al dan niet draait op een legitieme maar stiekem gehackte site.
Anderzijds kan het klikken op zo’n alarmerende nepmelding leiden tot een aankooppagina voor securitysoftware die het zogenaamd geconstateerde gevaar belooft weg te nemen. Eigenlijk is dit dus ouderwetse oplichterij. Er wordt je een probleem aangepraat en vervolgens de oplossing ervoor geboden. Maakt niet uit dat je al securitysoftware hebt draaien. Die bestaande bescherming ziet overigens niets loos, simpelweg omdat er niets loos ís.
Echter, de securitysituatie is complexer dan het lijkt. Hier komt de tweede manier aan bod waarop beveiligingssoftware gevaarlijk kan zijn. Echte, gewone securitypakketten zijn immers ook maar software. En in software kunnen zoals bekend bugs zitten: foutjes, slordigheden, bagage uit het verleden, kwetsbaarheden. Bovendien hebben securityprogramma’s juist vanwege hun taak nogal vergaande bevoegdheden op de computers waarop ze draaien. Het is voor (cyber)criminelen ideaal om de bewaker voor hun karretje te spannen.
Het stille gevaar van securitysoftware is geen theoretische kwestie. Dat is recent weer eens aangetoond door de beruchte gatenjager Tavis Ormandy, die in dienst is van Google’s speciale team (Project Zero) om kwetsbaarheden te vinden in veelgebruikte software. Ormandy heeft jaren terug al grote en misbruikbare gaten gevonden in Windows, Linux en andere software. Recent heeft hij zijn pijlen gericht op beveiligingsprogramma’s, van bekende namen als Trend Micro, ESET, AVG, Avast, Kaspersky, FireEye, Malwarebytes en Comodo.
Zero-days
In deze securitysoftware heeft de beveiligingsonderzoeker gaten gevonden - en die vervolgens netjes gemeld bij de makers, om ze te laten dichten. Ormandy kon zelfgemaakte exploitcode uitvoeren op computers die in theorie werden beschermd door bepaalde securitypakketten, maar die in de praktijk dus juist kwetsbaar waren door die software. De ironie ten top.
In sommige gevallen waren de gevonden gaten op afstand te misbruiken en zonder dat de gebruiker ook maar iets hoeft te doen. Het simpelweg bezoeken van een besmette site of zien van een malafide ad kan al voor infectie zorgen. Daarnaast kan het onmerkbaar ontvangen van een speciaal gemaakt netwerkpakket de malware nog heimelijker binnenbrengen. De gevonden gaten zijn na veel werk wel gedicht, waarvoor de securitybedrijven patches hebben uitgebracht. Gebruikers moeten die updates dus wel installeren. Bijblijven blijft belangrijk.
Terwijl 0-days (voorheen onbekende gaten) een flink gevaar vormen - er is immers nog geen fix voor - moeten oudere gaten niet onderschat worden. Uit onderzoek van securitybedrijf Verizon naar digitale inbraken blijkt dat 85 procent van de succesvolle exploitsoftware gebruikmaakt van de top tien aan reeds bekende kwetsbaarheden.
Voor sommige van die gaten zijn al maanden, soms al jaren, patches beschikbaar. Deze bevindingen zijn echter niet heiligmakend, want het rapport vermeldt bijvoorbeeld niet het kwetsbare Adobe Flash. Daarnaast speelt ook de mens een belangrijke rol, wat wel wordt belicht in het rapport. Zo worden veel softwarebugs immers benut doordat mensen hun software niet updaten of domweg voor oplichtingstrucs vallen.
Phishing
De mens speel zoals gezegd een belangrijke rol voor security. Een oud gezegde bij IT’ers is dat veel problemen met computers, software en systemen een duidelijke oorzaak hebben. Het probleem bevindt zich tussen de stoel en het toetsenbord: PEBCAK (Problem Exists Between Chair And Keyboard).
Dit klinkt nogal neerbuigend en getuigt ook wel van de kloof die gaapt tussen techneuten en de gewone gebruikers die maar met technologie om moeten zien te gaan. Anderzijds zit er helaas wel een kern van waarheid in.
©PXimport
Het gevaar van phishingmails is al eerder genoemd in dit PCM-overzicht van hedendaagse digitale dreigingen. Daar komt de kunst van social engineering bij kijken. Dit uit zich in gladde praatjes van zogenaamde Microsoft-helpdeskmedewerkers, in overtuigende spamberichten met aanlokkelijke aanbiedingen of makkelijke quizzen, in aansprekende profielen van vreemdelingen die vrienden met je willen worden, enzovoorts. Waakzaamheid is geboden.
Ook mailkaping moet niet worden onderschat. Daarmee vallen bijvoorbeeld accounts elders over te nemen, zoals een Apple ID om daarmee alle iPhones en Macs te kunnen wissen, zoals een Amerikaanse techjournalist in 2012 al overkwam. Hij zag stuk voor zijn stuk Apple-apparaten gewist worden en zijn digitale bestaan langzaam verdampen. Verder kan via mailkaping de zogeheten CEO-fraude in beeld komen. Kwaadwillenden doen zich daarbij voor als een leidinggevende, bijvoorbeeld via het mailaccount. Vervolgens geven ze werknemers opdrachten, zoals het doen van een overboeking naar een andere bankrekening. Dit is ook in Nederland al voorgekomen.
Ransomware
Technisch gezien is ransomware gewoon een bepaald soort malware die is gemaakt voor een specifiek doel. Praktisch gezien is het fenomeen echter dermate om zich heen aan het grijpen dat het aparte aandacht verdient. Ransomware is kwaadaardige software die op verschillende manieren kan binnenkomen, op pc’s, smartphones en zelfs NAS-opslagapparaten. Eenmaal binnen gaat het zijn redelijk unieke werk verrichten: kostbare gegevens ontoegankelijk maken en dan losgeld eisen.
Hoe ransomware zoal binnenkomt, verschilt in de praktijk eigenlijk niet van ‘gewone’ malware. Het bijzondere zit erin wat gijzelingssoftware doet en vooral waarom de daders erachter het doen. Het gijzelen van bestanden door ze te versleutelen is een lucratieve activiteit te zijn voor cybercriminelen. Dit is te danken aan een ‘perfect storm’ van factoren: de waarde van data, plus het vaak voorkomende gebrek aan actuele back-ups, plus de kracht van hedendaagse encryptie, plus de anonieme betalings- en doorsluismogelijkheden van de virtuele valuta Bitcoin.
Eenmaal gegijzeld, zijn je bestanden in wezen onkraakbaar versleuteld. Soms is er sprake van geluk, na het ongeluk. Security-onderzoekers, politie en Justitie kunnen een technische doorbraak boeken of dankzij inbeslagname de ontsleutelingscodes in handen krijgen. Hierdoor is gegijzelde data te bevrijden. Soms is er bizar toeval, zoals datagijzelnemers die kennelijk tot inkeer komen en hun meestersleutel vrijgeven wat alle slachtoffers helpt. Dit is gebeurd met de TeslaCrypt-ransomware.
In de meeste gevallen is een gijzeling echter succesvol voor de daders. Een recente back-up kan het dataverlies beperken. Zwichten voor de afpersing kan ook helpen, hoewel er natuurlijk geen garanties zijn. Datagijzelnemers zijn nu eenmaal geldbeluste criminelen, zoals het Amerikaanse Kansas Heart ziekenhuis recent heeft ontdekt: na betaling van het geëiste losgeld wilden de afpersers ineens een tweede betaling voor volledige ontsleuteling.
Het internet-of-things
Tot slot dan nog de meest recente dreiging, die is op het gebied van het internet-of-things. Te vaak zijn deze slimme apparaten niet goed genoeg beveiligd en vormen ze dus een doelwit voor cybercriminelen. Daarvoor verwijzen we je graag door naar een ander artikel: 'De grootste veiligheidsrisico's - Is IoT veilig?'
