De verwarming die aanspringt als je de straat in fietst. Een deurbel met een camera. Een horloge dat inzicht geeft in onze gezondheid. Slimme apparaten hebben het leven in korte tijd een stuk aangenamer gemaakt. Maar niet veiliger, want qua beveiliging zijn deze apparaten een stuk minder slim. Vaak zijn IoT-apparaten zelfs een bedreiging voor het thuisnetwerk en jouw gegevens. Dus zul je die beveiliging zelf moeten regelen.

Dat beveiliging hét zwakke punt is van veel Internet of Things-apparaten (IoT), is geen verrassing. De IoT-producenten op jacht naar marktaandeel willen dat hun producten vooral cool, gebruiksvriendelijk en goedkoop zijn. Beveiliging speelt geen rol, ook niet bij de kopers. Veel IoT-apparaten zijn bovendien merkloos, worden ergens ver weg in grote aantallen gemaakt, verscheept en verkocht. Niemand die zich er daarna nog op laat aanspreken dat een lek gedicht moet worden. Vaak is een IoT-apparaat ook een gesloten systeem dat helemaal geen verdere configuratie toelaat of slechts minimale opties biedt. En als dan ook nog de Nederlandse en Europese autoriteiten verzuimen op te treden of eisen te stellen, dan komen we in de situatie waarin we nu verkeren, met een enorm aanbod aan slimme maar onveilige apparaten en dus een probleem dat we zelf moeten oplossen.

Gelukkig zijn er voldoende mogelijkheden om IoT-apparaten wel goed te beveiligen. Dat doe je door de beveiliging in lagen te organiseren, ‘defence in depth’ of ‘layered security’ in techneuten-Engels. De eerste laag zijn de IoT-apparaten zelf. Alles wat je daar kunt regelen en dichttimmeren, hoeft in de schillen eromheen niet meer. De tweede laag is het netwerk waarmee de apparaten verbonden zijn en de derde laag zijn de gebruikers. Allemaal kunnen ze specifieke zaken bijdragen om IoT veilig te maken.

©PXimport

Wat is Internet of Things?

©PXimport

Waar zitten de gaten?

01 Updaten

Het is weliswaar een wetmatigheid dat elke update ook nieuwe fouten introduceert, toch is het updaten van de software op een apparaat een beproefde methode om beveiligingslekken te verhelpen. Voorzie daarom in elk geval je nieuwe IoT-apparaat van de nieuwste firmware wanneer je het in gebruik neemt. En probeer die, wanneer dat mogelijk is, ook later te blijven updaten. Sommige IoT-apparaten komen met een eigen app die soms laat zien welke firmwareversie er wordt gebruikt en of daar updates voor beschikbaar zijn. Controleer dat anders zelf op de website van de leverancier. Check ook de handleiding voor informatie over hoe je moet updaten. Download dan de updates en sla deze op. Log in op de webinterface van het IoT-apparaat en zoek de functie om de firmware te updaten. Upload de nieuwe versie naar het apparaat en laat deze installeren. Controleer daarna of het apparaat naar behoren werkt en of de belangrijkste instellingen, zoals het ip-adres (zie verderop) en de netwerkverbinding, onveranderd zijn gebleven.

©PXimport

02 Wachtwoorden

Neem je een nieuw IoT-apparaat in gebruik, pas dan minimaal het administrator-wachtwoord aan. Veelal is dit een standaard wachtwoord dat voor alle soortgelijke apparaten gelijk is – soms zelfs voor alle apparaten van hetzelfde merk. Gebruik ook niet één wachtwoord voor al je IoT-apparaten maar geef elk een uniek en moeilijk wachtwoord. Dat kan een lange maar makkelijk te onthouden wachtwoordzin zijn, maar helaas kunnen lang niet alle IoT-apparaten daar goed mee overweg. Dan is een kort maar random gegeneerd wachtwoord de betere optie. Gebruik een wachtwoordkluis als Keepass of Enpass om het unieke wachtwoord van elk apparaat te bewaren. Ondersteunt het IoT-apparaat het veranderen van de naam van het admin-account of kun je meerdere admin-accounts maken en het standaardaccount uitschakelen, dan is dat een aanvullende maatregel die je eenvoudig kunt nemen. Het maakt de beveiliging nog beter.

©PXimport

03 Hardening

Hardening is technisch jargon voor sterker maken. En de beveiliging van apparaten maak je sterker door ongebruikte en onveilige opties uit te schakelen. Ongebruikte opties uitschakelen is lastig omdat dit de functionaliteit van het IoT-apparaat raakt, maar denk ook aan overbodige accounts. Ook is de functionaliteit lang niet altijd toegankelijk, al biedt een login via ssh soms mogelijkheden die via de webinterface of app onzichtbaar zijn. De mogelijkheid tot communiceren via ssh of Telnet zijn wel weer voorbeelden van opties die uitgeschakeld moeten worden wanneer er geen gebruik van gemaakt wordt. En dat geldt bijvoorbeeld ook voor communicatie via poort 80 (http) wanneer poort 443 (https) ook wordt ondersteund en natuurlijk helemaal voor IPv6.

©PXimport

04 Configuratie

Behalve het standaard wachtwoord en account, zijn er, afhankelijk van het (soort) apparaat en bijvoorbeeld het gebruikte communicatieprotocol, ook nog andere opties om de IoT-apparaten beter te beveiligen. Schakel over naar tweefactor-authenticatie voor de login, gebruik voor normaal alledaags gebruik geen account met admin- of root-rechten maar een standaard account met beperkte rechten. Configureer ook zo’n beperkt account voor verbindingen met andere apparaten in het thuisnetwerk zoals tussen een bewakingscamera en een nas. Ook daarvoor zijn geen admin-rechten nodig, niet op de camera en niet op de nas. Schakel op alle IoT-apparaten dhcp uit en configureer een vast ip-adres. Een vast ip-adres zorgt ervoor dat het IoT-apparaat altijd goed bereikbaar is voor de diensten of verbindingen die het mag maken, terwijl het niet na bijvoorbeeld een stroomstoring ineens met een ander ip-adres in het netwerk kan komen en zich bijvoorbeeld onttrekt aan specifieke firewall-regels.

©PXimport

05 Isolatie

De tweede laag in de beveiliging van IoT-apparaten is de netwerklaag. Er zijn meerdere manieren om een netwerk te beveiligen en sommige daarvan kunnen naast elkaar worden gebruikt. Veel ervan berusten op netwerksegmentatie. Zonder netwerksegmentatie kunnen alle apparaten in het netwerk met elkaar communiceren. Met netwerksegmentatie kan dat niet, er worden dan verschillende groepen binnen het netwerk aangebracht die niet zomaar met elkaar kunnen communiceren.

Is er geen mogelijkheid een apart netwerk voor de IoT-apparaten in te stellen, kies dan voor Access Point Isolatie. Hiermee zorg je ervoor dat draadloos verbonden apparaten zoals de IoT-apparaten, alleen met het internet kunnen communiceren en niet met elkaar. Het nadeel van deze methode is dat het geldt voor alle draadloos verbonden apparaten, maar weinig routers bieden de mogelijkheid dit per apparaat in te stellen. Een uitzondering zijn routers voorzien van het opensource-besturingssysteem voor routers DD-WRT. Daarin kan het wel per apparaat worden aangegeven.

©PXimport

06 Gastnetwerk

Een gemakkelijke variant van de AP-isolatie is het gastnetwerk. Dit keer komt er een apart draadloos netwerk bij dat speciaal voor de gasten en in dit geval de IoT-apparaten is. Voor alle apparaten in het gastnetwerk geldt dat deze niet naar de apparaten in het gewone thuisnetwerk kunnen en veelal kunnen ze ook niet met de andere apparaten in het gastnetwerk communiceren. Door nu de IoT-apparaten met dit gastnetwerk te verbinden, beveilig je dus de apparaten in het thuisnetwerk tegen de IoT-apparaten. Een nadeel is wel dat je hiermee de mogelijkheid verliest het gastnetwerk ook echt voor gastgebruik in te zetten. Dat kan nog wel maar dan zitten gasten en IoT-apparaten in één netwerk, en of je dat altijd wilt is ook maar weer de vraag.

©PXimport

07 Een tweede router

Beschik je over een tweede router, dan kun je daarmee een heel apart netwerk neerzetten specifiek voor de IoT-apparaten. De twee routers komen dan in lijn te staan, een router is verbonden met het internet, de wan-poort zit op het modem van de internetprovider. De tweede router is verbonden met de eerste. Je verbindt dus de wan-poort van de tweede router met een lan-poort van de eerste router. Dit stelt wel eisen aan de configuratie van de beide routers. Configureer op beide verschillende wachtwoorden, een verschillend ip-netwerk en verschillende draadloze netwerken met verschillende wpa2-beveiligingscodes. Voor wat het ip-netwerk betreft, configureer bijvoorbeeld op de eerste router het 192.168.0.x netwerk en op de tweede 192.168.1.x of een 10.10.10.x wanneer je het liever echt heel duidelijk verschillend wilt hebben. De tweede router heeft op de wan-poort een ip-adres uit het ip-netwerk van de eerste. Als dns van de tweede router kun je het ip-adres aan de lan-kant van de eerste router nemen maar je kunt ook een dns op het internet configureren zoals de 8.8.8.8 van Google. De IoT-apparaten verbind je draadloos en bedraad met de eerste router. De tweede router is voor het klassieke thuisnetwerk met de goed beveiligde apparaten. Doordat op de tweede router een firewall actief is die al het binnenkomende verkeer, ook dat van het netwerk op de eerste router, weigert, zijn de apparaten die verbonden zijn met de tweede router beveiligd tegen de apparaten die met de eerste router verbonden zijn, dus tegen de IoT-apparaten. Apparaten die met de tweede router verbonden zijn, kunnen wel verbinding maken met apparaten die met de eerste router zijn verbonden.

08 Houd overzicht

Zorg ervoor dat er geen onbekende of vergeten apparaten in het IoT-netwerk komen. Houd een administratie bij van de IoT-apparaten en hun ip-adressen. Dat kan prima in de wachtwoordmanager of Notepad. Controleer zo nu en dan eens of alle apparaten nog aanwezig zijn of investeer in een Fingbox, een 24/7 netwerkmonitor die alles wat er op een netwerk gebeurt monitort en volgens vooraf ingestelde regels waarschuwt. Bijvoorbeeld wanneer een onbekend apparaat online komt maar ook wanneer bekende apparaten nieuwe verbindingen aangaan.

©PXimport

09 Vervang eerder

Kijk kritisch welke IoT-apparaten nog echt actief en in het netwerk aanwezig moeten zijn. Verwijder al die apparaten die je toch niet meer gebruikt of waarvan de functionaliteit ook door andere, nieuwere apparaten kan worden geleverd. Door de hoge innovatiesnelheid en de lage beschikbaarheid van beveiligingsupdates voor bestaande apparaten, is de technische levensduur van IoT-apparaten vaak veel groter dan de economische en zeker de security-technische levensduur. Vervangen door een nieuwe versie met betere software en betere beveiliging is dan een goede keuze ook als het apparaat zelf nog prima functioneert.

Naar standaard beveiliging

De cyberaanval-killchain

Het was tot voor kort mogelijk om Windows 10 (opnieuw) te installeren zonder Microsoft-account. Maar net zoals bij Windows 11 is dat nu niet meer mogelijk als je een nieuwe installatie van Windows 10 uitvoert. Gelukkig is die belemmering te omzeilen. We laten je zien hoe je dat tijdens de installatieprocedure van Windows 10 doet.

Microsoft wil maar al te graag dat je een Microsoft-account hebt en deze ook gebruikt bij het aanmelden binnen Windows 10. Behalve dat je hiermee in geval van het vergeten van je installatiecode het besturingssysteem makkelijker opnieuw kunt activeren, biedt een Microsoft-account niet veel extra voordelen in Windows 10 zelf. Het enige wat met zo'n account makkelijker werkt, is het instellen van e-mail en OneDrive, maar dat zijn ook diensten waar je je later bij kunt aanmelden.

Installatieprocedure

In een van de laatste stappen van de installatieprocedure van Windows 10 (of als je een Windows 11-laptop hebt gekocht) word je – om de laatste instellingen toe te passen – gevraagd om in te loggen met een Microsoft-account. Als je die niet hebt, wordt er gevraagd er eentje aan te maken.

Wanneer je in bovenstaand scherm bent aangekomen, lijkt het alsof je hier niet meer uit kunt komen: je moet óf een account invullen, óf er eentje aanmaken. Toch kun je hier nog iets anders doen, namelijk een opdrachtprompt openen. En dat is handig, want met een opdrachtprompt tijdens de installatie van Windows 10 kun je alvast zaken regelen vóórdat Windows 10 zelf is opgestart. Het omzeilen van het aanmaken of invoeren van een Microsoft-account bijvoorbeeld. Om de opdrachtprompt te openen, druk je op Shift+F10.Let op: bij sommige computers zoals laptops kan het zijn dat je ook de Functietoets Fn moet indrukken om de F10-knop te kunnen gebruiken. De opdracht wordt in dat geval Shift+Fn+F10.

Na het indrukken van deze toetscombinatie wordt een zwart venster voor de opdrachtprompt geopend (zie afbeelding hieronder).

In dit scherm voor je een speciale opdracht in waarmee we de verplichte invoer voor een Microsoft-account gaan omzeilen. Zodra Windows 10 heeft gedetecteerd dat jouw computer een werkende verbinding heeft, blijf je op dat accountscherm hangen. Maar ook als er nog geen verbinding is gemaakt, wil Microsoft toch eerst dat je verbinding maakt en daarna alsnog met een Microsoft-account aan de slag gaat.

Nu de opdrachtprompt is geopend, schakelen we die online functie echter uit. Voer exact de volgende opdracht in: start ms-cxh:localonly

Druk daarna op de Enter-toets. Dat ziet eruit als hieronder:

©MG | ID.nl

Nadat je op Enter hebt gedrukt, verschijnt er een nieuw venster met de mogelijkheid om een lokaal account (dus zonder Microsoft-account) aan te maken. Goed om te weten: dit account is ook meteen een administrator-account.

©MG | ID.nl

Je kunt hier dus gewoon een normale (voor- en achter)naam opgeven; een e-mailadres is dan niet nodig. Je kunt ervoor kiezen om nu een wachtwoord in te vullen, maar als je dat doet, krijg je ook direct drie controlevragen die je moet opgeven. Dat kun je niet skippen. Sla je het aanmaken van een wachtwoord nu over, dan kun je dat later in Windows 10 alsnog doen.

Nadat je de benodigde gegevens hebt ingevuld, worden de laatste installatiestappen voltooid en wordt de computer nog een keertje opnieuw opgestart. Daarna kun je je aanmelden met het nieuwe account en voer je nog een aantal stappen uit met betrekking tot functies als locatie, diagnostische gegevens en handschriftherkenning.

Account aanpassen

Het account waarmee je je aanmeldt, is een administrator-account. In dat geval doe je er goed aan om een wachtwoord in te stellen (als je dat nog niet hebt gedaan) in de hierboven uitgelegde stap. Om een wachtwoord in te stellen, klik je op de Startknop, vervolgens op je accountnaam en kies je voor Accountinstellingen wijzigen.

Je komt nu in het instellingenscherm voor je account. Scrol naar de knop Aanmeldingsopties (linkerkant) en daarna op Wachtwoord (rechts).

Nu kun je een wachtwoord naar wens opgeven. De eisen zijn hier niet streng, maar uiteraard kies je wel voor een lastig te raden wachtwoord. Wel ben je verplicht om een geheugensteuntje op te geven, maar dat is minder lastig dan drie extra beveiligingsvragen die je normaliter bij het installatiescherm moet opgeven. Bij de geheugensteun mag het wachtwoord (vanzelfsprekend) niet worden gebruikt.

©MG | ID.nl

Wachtwoord en geheugensteun ingevoerd? Dan ben je in principe klaar en kun je je systeem verder configureren. Eventueel kun je nu ook nieuwe extra accounts aanmaken via het onderdeel Andere gebruikers in het instellingenscherm.

Steeds meer mensen kiezen voor een kookplaat met ingebouwd afzuigsysteem. Geen afzuigkap meer die in het zicht hangt of je hoofdruimte beperkt – dat klinkt aantrekkelijk, nietwaar? Maar waar moet je precies op letten als je zo'n systeem overweegt?

Lees ook:Inductie, keramisch of gas: welke pan past bij welke kookplaat?

Een kookplaat met geïntegreerde afzuiging, ook wel werkbladafzuiging genoemd, zuigt de kookdampen direct bij de bron weg. De afzuiging zit in de kookplaat zelf verwerkt, wat betekent dat je geen traditionele kap boven je hoofd meer nodig hebt. In een bestaande keuken levert dat direct een strakkere uitstraling op. Ben je toe aan een volledig nieuwe keuken, dan biedt dit type systeem vooral vrijheid in het ontwerp van de ruimte boven je fornuis. Kies je voor een recirculatiemodel, waarbij de lucht wordt gefilterd en terug de keuken in wordt geblazen, dan heb je zelfs geen afvoer naar buiten meer nodig. Dat biedt mogelijkheden, vooral als zo'n kanaal technisch lastig te realiseren is.

©Siemens

Wat zijn de voordelen?

Het grootste pluspunt: ruimtewinst. Doordat er geen afzuigkap meer in het zicht hangt, oogt je keuken meteen een stuk opener en rustiger. De dampen worden bovendien direct van het kookoppervlak weggezogen, wat in de praktijk vaak effectiever werkt dan een traditionele kap. Vooral bij kookeilanden of in open keukens merk je het verschil: je zichtlijn blijft vrij en de keuken voelt minder 'vol'. Ook esthetisch levert het wat op: de kookplaat ligt vlak in het werkblad, wat zorgt voor een gestroomlijnd geheel dat bij veel mensen in de smaak valt.

En de nadelen?

Er zitten ook haken en ogen aan deze technologie. De installatie vraagt vaak om maatwerk: keukenkasten moeten worden aangepast, en dat kost tijd én geld. Onder het werkblad gaat bovendien flink wat kastruimte verloren vanwege het afzuigsysteem. Ook het geluidsniveau is iets om op te letten. Zeker in open keukens kan het gezoem nadrukkelijk aanwezig zijn, soms meer dan bij een klassieke afzuigkap. Verder vergt het systeem regelmatig onderhoud: vetfilters moeten schoon worden gehouden, en bij recirculatiemodellen zul je de koolstoffilters tijdig moeten vervangen. Die kosten kunnen behoorlijk oplopen, net als de aanschafprijs zelf. Een geïntegreerde kookplaat is beduidend duurder dan een losse kookplaat met afzuigkap.

Welk type kookplaat?

De meeste kookplaten met ingebouwde afzuiging werken op inductie, omdat inductie het mogelijk maakt om het systeem netjes in het vlakke oppervlak te integreren. Bij keramische platen zie je deze combinatie veel minder. Voor wie op gas wil koken, zijn de opties nog beperkter: slechts een handvol modellen biedt deze combinatie, en dan ook nog met beperkte zuigkracht.

Hoe werkt de afzuiging?

Er zijn grofweg twee systemen: recirculatie en luchtafvoer naar buiten. Een recirculatiesysteem zuivert de lucht van vet en geurtjes en blaast die vervolgens terug de ruimte in. Handig als je geen kanaal naar buiten kunt of wilt aanleggen, al vraagt dit systeem wel om regelmatige vervanging van de filters. Een luchtafvoersysteem voert lucht en vocht direct af naar buiten en werkt efficiënter, maar vereist een afvoerkanaal. Daardoor ben je minder vrij in het kiezen van de plek van je kookplaat.

©R_Yosha

Hoe krachtig moet de afzuiging zijn?

De afzuigcapaciteit wordt uitgedrukt in kubieke meters per uur (m³/u) en bepaalt hoeveel lucht het systeem kan verplaatsen. In een kleine, afgesloten keuken volstaat een lagere capaciteit. Heb je een grotere of open keuken, dan is een krachtiger systeem nodig om de kookdampen goed af te voeren. Zorg dat je een model kiest dat past bij de grootte van je keuken én bij hoe intensief je kookt.

Wat vraagt zo'n systeem qua onderhoud?

Een geïntegreerd systeem vergt meer aandacht dan een traditionele afzuigkap. De vetfilters moeten regelmatig worden gereinigd (gelukkig kan dat meestal gewoon in de vaatwasser). Bij recirculatie hoort daar ook het vervangen van koolstoffilters bij. Die filters zijn niet goedkoop en moeten regelmatig worden vernieuwd om de werking op peil te houden. Het is dus goed om deze terugkerende kosten mee te nemen in je overweging.

©Inventum

Kosten en installatie

Zoals je in het tabelletje hierboven al kon zien, lopen de prijzen uiteen van zo'n 1500 euro voor instapmodellen tot boven de 4000 euro voor de luxere uitvoeringen. Niettemin lijken de prijzen inmiddels iets te zakken en duiken hier en daar de eerste modellen onder de 1000 euro op. De installatie is vaak complex en vergt vakmanschap, vooral als je kiest voor luchtafvoer naar buiten. Houd bovendien rekening met bijkomende kosten voor het aanpassen van je keukenmeubilair.

Tot slot

Een kookplaat met geïntegreerde afzuiging oogt strak, bespaart ruimte en past perfect bij een moderne keuken. Daar staat tegenover dat je rekening moet houden met hogere kosten, meer onderhoud en mogelijk meer geluid. Vraag jezelf dus goed af wat voor jou belangrijk is: hoe vaak kook je, hoeveel ruimte heb je beschikbaar, en wat wil je investeren? Dit type kookplaat is vooral geschikt voor wie veel waarde hecht aan design en bereid is iets meer moeite te doen voor een opgeruimde, eigentijdse keuken. Laat je desnoods adviseren bij de betere keuken- en witgoedspecialist.