De toenemende populariteit van encryptie heeft een schaduwzijde. Malware wordt namelijk veel moeilijker op te sporen wanneer het via versleutelde verbindingen tracht toe te slaan. Wat is er tegen versleutelde malware te doen? We spraken daarover met Michel Schaalje van beveiligingsbedrijf Cisco.

De trend van versleuteling zet door. Onderzoeksbureau Gartner voorspelt bijvoorbeeld dat dit jaar meer dan tachtig procent van al het internetverkeer versleuteling heeft. Versleuteld malafide verkeer is echter heel lastig te ontdekken, en daarmee lastig te bestrijden. Criminelen versleutelen hun malware daarom steeds vaker om virusscanners en bedrijfsbeveiligingen om de tuin te leiden. Volgens beveiligingsbedrijf Cisco duurt het voor bedrijven gemiddeld tussen de 100 en 200 dagen voor zij ongeoorloofd ssl-verkeer ontdekken in hun netwerken.

Michel Schaalje is directeur security bij Cisco. Het netelige vraagstuk van versleutelde malware neemt hij vrij koel op. “Encryptie is bedoeld om verkeer veiliger te maken. Nu zie je het tegenovergestelde ook gebeuren. Maar ja, dat kun je eigenlijk van alles wel zeggen. Als er een nieuwe technologie op de markt komt, dan is het bijna gegarandeerd dat iemand het ook voor malafide doeleinden gebruikt.”

Volgens Schaalje is de opkomst van versleutelde malware geen nieuwe ontwikkeling, maar wel een die recent een flinke vlucht heeft genomen. “We zien in het algemeen een grote stijging in versleuteld internetverkeer, en daarmee dus ook in kwaadaardig verkeer.” Hij vindt het zelf een eenvoudig verklaarbare ontwikkeling. “Criminelen proberen nu eenmaal altijd onder de radar te blijven. Als encryptie daarbij helpt is dat een logische stap.” De opkomst van Let’s Encrypt is daarbij belangrijk. “Certificaten met ‘signatures’ zijn nu spotgoedkoop en veel beschikbaar. Daar maken criminelen dankbaar gebruik van.”

Bedrijfsstructuur

Voor criminelen is het steeds vaker noodzaak om hun verkeer te versleutelen, als zij effect willen hebben. Anderzijds, zegt Schaalje, is er ook het feit dat online beveiliging niet stilstaat. “Bij organisaties wordt de beschermmuur steeds beter. Bedrijven maken vaker gebruik van een architectuurbenadering voor hun beveiliging.”

Hij doelt daarmee op het feit dat bedrijven niet alleen geld pompen in nieuwe en betere hard- en software, maar hun hele digitale bedrijfsstructuur onder de loep nemen en werknemers en afdelingen beter laten samenwerken. “Je moet daarom als crimineel slimmer zijn om onder de radar te blijven. Ze verzinnen daarom steeds meer nieuwe methodes om ergens binnen te dringen.”

©PXimport

De meeste versleuteling in malware vindt plaats in ssl-verkeer. Het gaat meestal niet om de ‘payload’ (het gedeelte van de malware dat daadwerkelijk schade aanbrengt), maar om de weg die de malware aflegt om bij een doelwit te komen. Met name het verkeer naar een ‘command and control’-server is vaak versleuteld, zegt Schaalje.

“Als je dat weet te verbergen, kun je vaak meer impact hebben die ook langer duurt.” Het duurt dan bijvoorbeeld langer voor malafide verkeer wordt opgemerkt. De encryptie maakt het moeilijk om in een netwerkanalyse te zien of verkeer naar een legitieme bron gaat (een normale website die iemand gewoon nodig heeft voor zijn werk) of naar een malafide server die allerlei bedrijfsgeheimen verzamelt.

Vormen van versleutelde malware

Aanvallers volgen met de inzet van versleutelde malware de trends in cybersecurity. Ransomware is bijvoorbeeld nog steeds een belangrijke drijfveer. Inmiddels is echter ook cryptojacking steeds populairder, en blijven andere vormen van cybercrime zoals spionage of gegevensdiefstal altijd populair.

Versleuteling in malware richt zich dus niet specifiek op één doel. Verschillende rapporten noemen verschillende doelen. In een rapport van Zscaler van vorig jaar staat bijvoorbeeld dat zestig procent van alle malware via ssl of tls in 2017 bestond uit banking trojans. Slechts een kwart van alle aanvallen zou bestaan uit ransomware, en cryptojacking werd toen nog helemaal niet genoemd.

Toch ziet Michel Schaalje een nieuwe vorm van geavanceerde malware opkomen. Die kan de vorm aannemen van ransomware, maar het uiteindelijke doel van zo’n virus is wezenlijk anders. “Zeker vorig jaar zagen we de opkomst van ‘destruction of service’. Denk daarbij aan aanvallen zoals WannaCry en (Not)Petya. Die vermomden zich weliswaar als ransomware, maar de aanvallers hadden niet het doel er geld mee te verdienen. Ze wilden er juist infrastructuren of bedrijven mee platleggen.”

©PXimport

Voor zulke aanvallen wordt gebruik gemaakt van verschillende zogenoemde ‘obfuscatiemethodes’: manieren om de daadwerkelijke daders te verbergen. De hackers maken dan bijvoorbeeld gebruik van de ‘supply chain’, oftewel andere softwaremakers die weer leveren aan het bedrijf. Vaak hebben bedrijven die hoger in de supply chain staan een minder geavanceerde beveiliging; deze zijn dus makkelijker te infecteren.

Dat geldt ook, of zelfs juist, voor aanvallen die gebruik maken van encryptie. Omdat het lastiger is die tegen te houden, is het makkelijker voor hackers om kleine bedrijven te infecteren.

Beveiligingsbedrijven moeten overstappen op een nieuwe methode om deze vorm van malware tegen te houden, maar de industrie zoekt nog steeds naar het juiste antwoord. “Antivirus is niet meer voldoende”, zegt Schaalje. “Die detecteert verkeer alleen achteraf, terwijl het al op een systeem staat. Dan is het eigenlijk al te laat.” Zeker als je het verkeer niet kunt uitlezen, kan er op dat moment van alles in het systeem gebeuren. “Het liefst wil je daarom realtime kunnen detecteren.”

Oplossingen

Beveiligingsbedrijven stappen steeds vaker over op machine learning en kunstmatige intelligentie om dergelijke aanvallen af te slaan. “Met AI kun je rariteiten in het verkeer zien, en patronen herkennen. Juist als dat foutieve patronen zijn is dat handig.”

Je kunt daarbij de parallel trekken met fingerprinting. Fingerprinting is een identificatiemethode waarbij een uniek id wordt gekoppeld aan een gebruiker (of, in dit geval, malware). Dat gebeurt op een combinatie van technische specificaties en gedragspatronen. Het is een techniek waar juist kunstmatige intelligentie veel kan betekenen. Door het verkeer te analyseren zie je patronen in de grootte van datapakketjes, metadata, de omvang van het verkeer, timestamps ... Die kunnen vaak redelijk goed aangeven wanneer je te maken hebt met malafide verkeer.

Steeds meer beveiligingsbedrijven zien daar de meerwaarde van in, al staat de ontwikkeling ervan nog in de kinderschoenen. Sterker nog, Cisco is op dit moment één van de weinige bedrijven die machine learning al actief toepast buiten de laboratoria om. Het bedrijf ontwikkelde een tool met de ietwat ongeïnspireerde naam Encrypted Traffic Analytics (afgekort ETA), die door klanten van bepaalde routers van het bedrijf kan worden bijgekocht als extra service - met de kanttekening dat al het geanalyseerde verkeer via Cisco loopt.

©PXimport

Vooralsnog doet de dienst redelijk simpele analyses. Die draaien om dingen als zelf ondertekende certificaten, een goede aanwijzing dat er iets verborgen wordt in het pakket dat liever anoniem had moeten blijven. Ook probeert de tool links te leggen met onversleuteld verkeer dat naar dezelfde bestemming loopt. Gaat dat naar een server die niet wordt herkend (of die niet legitiem lijkt), dan gaat er een streep doorheen.

Je kunt zulke machine learning alleen effectief inzetten als je enorme hoeveelheden data hebt. Hoe meer data er worden ingeladen en geanalyseerd, hoe slimmer de algoritmes worden en hoe makkelijker malware kan worden ontdekt - vandaar de verzameling van data door de eerste groepen gebruikers van ETA. Dat wordt aangevuld met handmatige analyses door teams van experts. De meeste securitybedrijven hebben die; het bekende Thalos Security is bijvoorbeeld onderdeel van Cisco, maar ook antivirusbedrijven als ESET, Kaspersky of McAfee maken gebruik van laboratoria waar malware handmatig wordt uitgepluisd door experts.

Uitdagingen

Het grote probleem waar zulke machine learning-algoritmes nu nog tegenaan lopen is het relatief hoge aantal ‘false positives’, resultaten die als malware worden aangemerkt terwijl het eigenlijk om legitiem verkeer gaat. Van de ene kant kun je beter net iets te veel legitiem verkeer aanmerken als malafide dan andersom, maar in de praktijk maakt dat het werk van bedrijven erg onpraktisch.

Schaalje zegt wel dat machine learning niet dé eindoplossing is. “Als wij het inzetten zie je dat criminelen er langzaam ook naartoe gaan. Die gebruiken het dan ook. Nu is het nog vrij ingewikkeld en duur om AI in te zetten maar in de toekomst wordt dat steeds toegankelijker.” Bovendien hebben landen die achter malware zitten ook veel middelen tot hun beschikking.

Het is heel lastig om versleutelde malware tegen te gaan – althans, als je het als op zichzelf staand probleem bekijkt. Het is een negatief bij-effect van de op zich wenselijke popularisering van encryptie. Veel bedrijven geven zelf aan dat ze voor het specifieke probleem van malware-encryptie niet goed beschermd zijn (hetzelfde A10 Networks-rapport dat we eerder noemden onderzocht dat ook). 79 procent van de ondervraagden dacht toen dat het versleutelde malware op hun eigen server kon detecteren. Slechts 17 procent zei er goed op voorbereid te zijn.

Schaalje denkt dat het probleem echter breder is en dat bedrijven zich het beste kunnen wapenen door een bredere beveiliging op te zetten. “Het is lastig te zeggen of bedrijven ‘wel of niet klaar zijn’ om zich tegen dit specifieke probleem te wapenen. Bedrijven zijn zich er steeds vaker bewust van dat er een grote kans is dat zij ooit slachtoffer worden van malware, vrijwel niemand denkt meer ‘dit is geen probleem voor ons’ of ‘ik ben niet interessant om iets te halen’. Iedereen weet dat hij de volgende kan zijn en je ziet dat mensen daar de juiste maatregelen tegen proberen te nemen.”

Die maatregelen zijn dan ook vooral een goede voorbereiding, met een goede analyse van hoe gegevens en systemen worden beveiligd en welke protocollen er zijn als er iets mis gaat.

Met iOS 18 krijg je toegang tot functies die eerder niet mogelijk waren, waardoor je je smartphone nog persoonlijker kunt maken. Ook de Notities-app heeft een update gekregen, zodat je teksten nu veel makkelijker kunt organiseren.

Lees ook: Personaliseer je iPhone: zo pas je in iOS 18 het beginscherm aan

De Notities-app van iOS 18 is onder handen genomen. Daardoor moet het ook gemakkelijker worden om bepaalde informatie terug te vinden. Als je een lange tekst in de app hebt geschreven, dan kan het lastig zijn om een specifieke passage op te zoeken, zelfs wanneer je al koppen en tussenkopjes hebt gebruikt om je tekst te structureren. Maar met iOS 18 is dat makkelijker geworden. Je kunt nu namelijk de kopjes – en daarmee de tekst die daarbij hoort – inklappen en uitvouwen wanneer je wilt.

Zodoende moet je veel sneller door je eigen werk heen kunnen. Wanneer je zo'n kop inklapt, verdwijnt de alinea die daarmee geassocieerd wordt. In beeld verschijnt dan een kleine pijl naast de betreffende kop. Als je daar op tikt, dan komt de alinea tevoorschijn. In dit artikel leggen we uit hoe je de koppen inklapbaar maakt en hoe je ze daarna ook weer kunt uitklappen. Heel moeilijk is het niet, maar je moet wel even weten waar het staat.

Inklapbare koppen voor Notities

Open de Notities-app op je iPhone, zodra je die hebt geüpdatet naar iOS 18. Je kunt nu een notitie selecteren en openen (eventueel vanuit een map), of een nieuwe aanmaken. Dat laatste doe je door rechts onderin op het knopje te drukken dat lijkt op een potlood in een vierkant. Maak de tekst op zoals je dat altijd zou doen en voeg de koppen toe die je wilt gebruiken. Koppen maak je aan door een regel te selecteren en onderin, op de balk met opties, op Aa te klikken. Zie je deze balk niet? Klik dan op het plusicoon.

Aa is de opmaakknop. Daarmee bepaal je wat voor type tekst het is: een titel, koptekst, subkop of hoofdtekst. Selecteer nu Koptekst of Subkop. Links van de (sub)kop zie je nu een pijltje staan, dat naar beneden gericht is. Dat betekent dat deze sectie uitgeklapt is. Als je op het pijltje tikt, kun je de alinea inklappen, zodat deze uit beeld verdwijnt. Klik je er nogmaals op, dan komt de alinea weer tevoorschijn.

Tot slot is het mogelijk de tekst, in welke opmaakvorm dan ook, van kleurtjes te voorzien. Selecteer dan wederom een regel of alinea, tik als dat nodig is op plus, dan op Aa en tik rechts op de kleurknop (bij ons staat die standaard op paars).

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Een paar keer per week speuren we binnen een bepaald thema naar zulke deals. Ben je op zoek naar een betaalbare draadloze hoofdtelefoon, bluetooth-speaker, radio of soundbar? Vandaag hebben we vijf interessante audioproducten voor je gespot.

JBL Tune 770NC

Zoek je een goede bluetooth-koptelefoon met noise-cancelling? De zwarte uitvoering van de JBL Tune 770NC is op het moment van schrijven spotgoedkoop! Als je liever een ander kleurtje wilt, kies je als alternatief voor een witte, blauwe of paarse versie. Deze kleurstellingen zijn eveneens betaalbaar. De Tune 770NC heeft zachte kussens die volledig over je oren vallen. Wel zo comfortabel, want hierdoor ervaren je oren geen hinderlijke drukpunten. Gunstig is de ondersteuning voor actieve ruisonderdrukking. Op drukke plekken filtert deze draadloze koptelefoon storende achtergrondgeluiden weg.

De Tune 770NC heeft twee audiodrivers van veertig millimeter met een volledig bereik. Op een volledig opgeladen accu kun je tot ongeveer 44 uur luisteren. Zet je noise-cancelling uit, dan bedraagt de maximale luistertijd zelfs zeventig uur. Heb je een lekker muziekalbum opstaan terwijl iemand je opbelt? Pauzeer dan de audioweergave en voer handsfree een gesprek. Tot slot loont het de moeite om de JBL Headphones-app op een smartphone te installeren. Met behulp van diverse equalizerinstellingen stel je daarmee jouw favoriete geluid in.

Xiaomi Redmi Buds 5

Voor enkele tientjes koop je deze volledig draadloze oordopjes van Xiaomi. Je kiest tussen een zwarte, witte en lichtblauwe uitvoering. Ondanks de lage aanschafprijs ondersteunt de Redmi Buds 5 noise-cancelling. Ideaal voor wie zich in een drukke omgeving even wil concentreren. Volgens de fabrikant filteren de in-ears tot 46 decibel van de geluiden om je heen weg. Het werkt vooral bij laagfrequentie audiogolven, zoals motoren van voertuigen. Je kunt zelf de mate van actieve ruisonderdrukking instellen.

Xiaomi belooft op een enkele acculading een luistertijd van tien uur. Verder kun je de oordopjes met de bijgesloten oplaadcase tot driemaal volledig opladen. Kortom, de Redmi Buds 5 hebben pas na zo'n veertig uur luisteren netstroom nodig. Heb je vaak haast, dan is de snellaadfunctie ideaal. Na vijf minuten opladen kun je weer twee uur luisteren. Via het bedieningspaneeltje aan de buitenzijde stuur je de in-ears makkelijk aan. Sla bijvoorbeeld een liedje over, wijzig het volume of neem een inkomend gesprek aan. Als laatste is het lichte gewicht van slechts 5,3 gram per oordopje een pluspunt. Dit maakt de Redmi Buds 5 geschikt voor lange luistersessies.

Philips TAB5309/10

Met de Philips TAB5309/10 schaf je een betaalbare soundbar én subwoofer aan. Beide apparaten zijn draadloos met elkaar verbonden, waardoor je geen kabels hoeft te trekken. Als je met de afstandsbediening een hoog basniveau selecteert, voel je drukke scènes van films, series en games letterlijk trillen. Uiteraard activeer je net zo makkelijk een 'zachtere' basweergave. De achterzijde telt drie aansluitingen, namelijk HDMI-ARC, s/pdif (optisch) en 3,5mm-audiojack. Je kunt dus elke televisie aansluiten.

Met een lengte van 76,6 centimeter past de TAB5309/10 bij zo'n beetje elke beeldbuis. Plaats de soundbar op een televisiemeubel of hang hem met de meegeleverde wandbevestiging aan de muur. Eenmaal aangesloten wissel je tussen verschillende geluidsinstellingen, namelijk film, muziek en stadion. Bovendien versterk je zo nodig stemmen, zodat je mensen op televisie beter kunt verstaan. Je gebruikt deze soundbar eventueel ook voor het luisteren van muziek. Verbind hiervoor een smartphone via bluetooth en stream je favoriete Spotify-afspeellijsten. Als alternatief kun je ook een usb-stick of externe harde schijf met audiobestanden aansluiten.

Lees ook: Welke bluetooth-speaker past bij mij?

JBL Clip 5

De JBL Clip 5 is een van de goedkoopste bluetooth-speakers die je momenteel kunt kopen. Dit product is in zo'n beetje alle kleuren van de regenboog verkrijgbaar, namelijk zwart, roze, rood, legergroen, wit, paars en blauw. Gunstig is de IP67-gecertificeerde behuizing, want stof, zand en water kunnen niet binnendringen. Hang de Clip 5 via de geïntegreerde karabijnhaak dus gerust in de douchecabine of neem de compacte luidspreker mee naar het strand. Dankzij het lichte gewicht van 285 gram neem je het apparaatje overal mee naartoe. Via de JBL Portable-app op een smartphone pas je desgewenst diverse geluidsopties aan.

De ingebouwde accu kun je via de bijgesloten usb-c-kabel opladen. Luister vervolgens twaalf uur onafgebroken naar muziek, podcasts en/of radio. Is de accu toch onverhoopt leeg? Druk dan op de zogeheten Play Boost-knop voor nog eens drie uur luisterplezier. Verder heeft de voorzijde knopjes om het volume te reguleren en de audioweergave te pauzeren. Ten slotte is het mogelijk om twee Clip 5-speakers draadloos te koppelen. Zo luister je naar een voller geluid. Je leest hier enkele reviews van andere gebruikers.

Philips TAR5005/10

Wil je een goedkope FM-/DAB+-radio met wekkerfunctie kopen? Momenteel bieden enkele webshops dit fraaie exemplaar van Philips voor minder dan vijftig euro aan. Via de lange telescopische antenne aan de achterzijde vergroot je de kans op een goede radio-ontvangst. Kies wel een locatie dicht bij het stopcontact, want de TAR5005/10 heeft geen accu. In de houten klankkast is een audiodriver van ruim zes centimeter verantwoordelijk voor het geluid.

Bovenop de behuizing tref je een behoorlijk uitgebreid bedieningspaneel. Hiermee sla je tot twintig voorkeurzenders in het geheugen op. Je kunt daarnaast het volume wijzigen en een wekker instellen. Configureer zo nodig twee alarmen op verschillende tijdstippen. Verder kan de TAR5005/10 zichzelf na een bepaalde periode automatisch uitschakelen, bijvoorbeeld na 15, 60 of 120 minuten. De voorkant heeft een display waarop je de tijd, het radiostation en zenderinformatie kunt aflezen. Deze (design)radio meet slechts 15,5 × 9,5 × 10,9 centimeter, zodat je vast wel een mooi plekje kunt vinden.