De verwarming die aanspringt als je de straat in fietst. Een deurbel met een camera. Een horloge dat inzicht geeft in onze gezondheid. Slimme apparaten hebben het leven in korte tijd een stuk aangenamer gemaakt. Maar niet veiliger, want qua beveiliging zijn deze apparaten een stuk minder slim. Vaak zijn IoT-apparaten zelfs een bedreiging voor het thuisnetwerk en jouw gegevens. Dus zul je die beveiliging zelf moeten regelen.

Dat beveiliging hét zwakke punt is van veel Internet of Things-apparaten (IoT), is geen verrassing. De IoT-producenten op jacht naar marktaandeel willen dat hun producten vooral cool, gebruiksvriendelijk en goedkoop zijn. Beveiliging speelt geen rol, ook niet bij de kopers. Veel IoT-apparaten zijn bovendien merkloos, worden ergens ver weg in grote aantallen gemaakt, verscheept en verkocht. Niemand die zich er daarna nog op laat aanspreken dat een lek gedicht moet worden. Vaak is een IoT-apparaat ook een gesloten systeem dat helemaal geen verdere configuratie toelaat of slechts minimale opties biedt. En als dan ook nog de Nederlandse en Europese autoriteiten verzuimen op te treden of eisen te stellen, dan komen we in de situatie waarin we nu verkeren, met een enorm aanbod aan slimme maar onveilige apparaten en dus een probleem dat we zelf moeten oplossen.

Gelukkig zijn er voldoende mogelijkheden om IoT-apparaten wel goed te beveiligen. Dat doe je door de beveiliging in lagen te organiseren, ‘defence in depth’ of ‘layered security’ in techneuten-Engels. De eerste laag zijn de IoT-apparaten zelf. Alles wat je daar kunt regelen en dichttimmeren, hoeft in de schillen eromheen niet meer. De tweede laag is het netwerk waarmee de apparaten verbonden zijn en de derde laag zijn de gebruikers. Allemaal kunnen ze specifieke zaken bijdragen om IoT veilig te maken.

©PXimport

Wat is Internet of Things?

©PXimport

Waar zitten de gaten?

01 Updaten

Het is weliswaar een wetmatigheid dat elke update ook nieuwe fouten introduceert, toch is het updaten van de software op een apparaat een beproefde methode om beveiligingslekken te verhelpen. Voorzie daarom in elk geval je nieuwe IoT-apparaat van de nieuwste firmware wanneer je het in gebruik neemt. En probeer die, wanneer dat mogelijk is, ook later te blijven updaten. Sommige IoT-apparaten komen met een eigen app die soms laat zien welke firmwareversie er wordt gebruikt en of daar updates voor beschikbaar zijn. Controleer dat anders zelf op de website van de leverancier. Check ook de handleiding voor informatie over hoe je moet updaten. Download dan de updates en sla deze op. Log in op de webinterface van het IoT-apparaat en zoek de functie om de firmware te updaten. Upload de nieuwe versie naar het apparaat en laat deze installeren. Controleer daarna of het apparaat naar behoren werkt en of de belangrijkste instellingen, zoals het ip-adres (zie verderop) en de netwerkverbinding, onveranderd zijn gebleven.

©PXimport

02 Wachtwoorden

Neem je een nieuw IoT-apparaat in gebruik, pas dan minimaal het administrator-wachtwoord aan. Veelal is dit een standaard wachtwoord dat voor alle soortgelijke apparaten gelijk is – soms zelfs voor alle apparaten van hetzelfde merk. Gebruik ook niet één wachtwoord voor al je IoT-apparaten maar geef elk een uniek en moeilijk wachtwoord. Dat kan een lange maar makkelijk te onthouden wachtwoordzin zijn, maar helaas kunnen lang niet alle IoT-apparaten daar goed mee overweg. Dan is een kort maar random gegeneerd wachtwoord de betere optie. Gebruik een wachtwoordkluis als Keepass of Enpass om het unieke wachtwoord van elk apparaat te bewaren. Ondersteunt het IoT-apparaat het veranderen van de naam van het admin-account of kun je meerdere admin-accounts maken en het standaardaccount uitschakelen, dan is dat een aanvullende maatregel die je eenvoudig kunt nemen. Het maakt de beveiliging nog beter.

©PXimport

03 Hardening

Hardening is technisch jargon voor sterker maken. En de beveiliging van apparaten maak je sterker door ongebruikte en onveilige opties uit te schakelen. Ongebruikte opties uitschakelen is lastig omdat dit de functionaliteit van het IoT-apparaat raakt, maar denk ook aan overbodige accounts. Ook is de functionaliteit lang niet altijd toegankelijk, al biedt een login via ssh soms mogelijkheden die via de webinterface of app onzichtbaar zijn. De mogelijkheid tot communiceren via ssh of Telnet zijn wel weer voorbeelden van opties die uitgeschakeld moeten worden wanneer er geen gebruik van gemaakt wordt. En dat geldt bijvoorbeeld ook voor communicatie via poort 80 (http) wanneer poort 443 (https) ook wordt ondersteund en natuurlijk helemaal voor IPv6.

©PXimport

04 Configuratie

Behalve het standaard wachtwoord en account, zijn er, afhankelijk van het (soort) apparaat en bijvoorbeeld het gebruikte communicatieprotocol, ook nog andere opties om de IoT-apparaten beter te beveiligen. Schakel over naar tweefactor-authenticatie voor de login, gebruik voor normaal alledaags gebruik geen account met admin- of root-rechten maar een standaard account met beperkte rechten. Configureer ook zo’n beperkt account voor verbindingen met andere apparaten in het thuisnetwerk zoals tussen een bewakingscamera en een nas. Ook daarvoor zijn geen admin-rechten nodig, niet op de camera en niet op de nas. Schakel op alle IoT-apparaten dhcp uit en configureer een vast ip-adres. Een vast ip-adres zorgt ervoor dat het IoT-apparaat altijd goed bereikbaar is voor de diensten of verbindingen die het mag maken, terwijl het niet na bijvoorbeeld een stroomstoring ineens met een ander ip-adres in het netwerk kan komen en zich bijvoorbeeld onttrekt aan specifieke firewall-regels.

©PXimport

05 Isolatie

De tweede laag in de beveiliging van IoT-apparaten is de netwerklaag. Er zijn meerdere manieren om een netwerk te beveiligen en sommige daarvan kunnen naast elkaar worden gebruikt. Veel ervan berusten op netwerksegmentatie. Zonder netwerksegmentatie kunnen alle apparaten in het netwerk met elkaar communiceren. Met netwerksegmentatie kan dat niet, er worden dan verschillende groepen binnen het netwerk aangebracht die niet zomaar met elkaar kunnen communiceren.

Is er geen mogelijkheid een apart netwerk voor de IoT-apparaten in te stellen, kies dan voor Access Point Isolatie. Hiermee zorg je ervoor dat draadloos verbonden apparaten zoals de IoT-apparaten, alleen met het internet kunnen communiceren en niet met elkaar. Het nadeel van deze methode is dat het geldt voor alle draadloos verbonden apparaten, maar weinig routers bieden de mogelijkheid dit per apparaat in te stellen. Een uitzondering zijn routers voorzien van het opensource-besturingssysteem voor routers DD-WRT. Daarin kan het wel per apparaat worden aangegeven.

©PXimport

06 Gastnetwerk

Een gemakkelijke variant van de AP-isolatie is het gastnetwerk. Dit keer komt er een apart draadloos netwerk bij dat speciaal voor de gasten en in dit geval de IoT-apparaten is. Voor alle apparaten in het gastnetwerk geldt dat deze niet naar de apparaten in het gewone thuisnetwerk kunnen en veelal kunnen ze ook niet met de andere apparaten in het gastnetwerk communiceren. Door nu de IoT-apparaten met dit gastnetwerk te verbinden, beveilig je dus de apparaten in het thuisnetwerk tegen de IoT-apparaten. Een nadeel is wel dat je hiermee de mogelijkheid verliest het gastnetwerk ook echt voor gastgebruik in te zetten. Dat kan nog wel maar dan zitten gasten en IoT-apparaten in één netwerk, en of je dat altijd wilt is ook maar weer de vraag.

©PXimport

07 Een tweede router

Beschik je over een tweede router, dan kun je daarmee een heel apart netwerk neerzetten specifiek voor de IoT-apparaten. De twee routers komen dan in lijn te staan, een router is verbonden met het internet, de wan-poort zit op het modem van de internetprovider. De tweede router is verbonden met de eerste. Je verbindt dus de wan-poort van de tweede router met een lan-poort van de eerste router. Dit stelt wel eisen aan de configuratie van de beide routers. Configureer op beide verschillende wachtwoorden, een verschillend ip-netwerk en verschillende draadloze netwerken met verschillende wpa2-beveiligingscodes. Voor wat het ip-netwerk betreft, configureer bijvoorbeeld op de eerste router het 192.168.0.x netwerk en op de tweede 192.168.1.x of een 10.10.10.x wanneer je het liever echt heel duidelijk verschillend wilt hebben. De tweede router heeft op de wan-poort een ip-adres uit het ip-netwerk van de eerste. Als dns van de tweede router kun je het ip-adres aan de lan-kant van de eerste router nemen maar je kunt ook een dns op het internet configureren zoals de 8.8.8.8 van Google. De IoT-apparaten verbind je draadloos en bedraad met de eerste router. De tweede router is voor het klassieke thuisnetwerk met de goed beveiligde apparaten. Doordat op de tweede router een firewall actief is die al het binnenkomende verkeer, ook dat van het netwerk op de eerste router, weigert, zijn de apparaten die verbonden zijn met de tweede router beveiligd tegen de apparaten die met de eerste router verbonden zijn, dus tegen de IoT-apparaten. Apparaten die met de tweede router verbonden zijn, kunnen wel verbinding maken met apparaten die met de eerste router zijn verbonden.

08 Houd overzicht

Zorg ervoor dat er geen onbekende of vergeten apparaten in het IoT-netwerk komen. Houd een administratie bij van de IoT-apparaten en hun ip-adressen. Dat kan prima in de wachtwoordmanager of Notepad. Controleer zo nu en dan eens of alle apparaten nog aanwezig zijn of investeer in een Fingbox, een 24/7 netwerkmonitor die alles wat er op een netwerk gebeurt monitort en volgens vooraf ingestelde regels waarschuwt. Bijvoorbeeld wanneer een onbekend apparaat online komt maar ook wanneer bekende apparaten nieuwe verbindingen aangaan.

©PXimport

09 Vervang eerder

Kijk kritisch welke IoT-apparaten nog echt actief en in het netwerk aanwezig moeten zijn. Verwijder al die apparaten die je toch niet meer gebruikt of waarvan de functionaliteit ook door andere, nieuwere apparaten kan worden geleverd. Door de hoge innovatiesnelheid en de lage beschikbaarheid van beveiligingsupdates voor bestaande apparaten, is de technische levensduur van IoT-apparaten vaak veel groter dan de economische en zeker de security-technische levensduur. Vervangen door een nieuwe versie met betere software en betere beveiliging is dan een goede keuze ook als het apparaat zelf nog prima functioneert.

Naar standaard beveiliging

De cyberaanval-killchain

Het merk Nothing is inmiddels berucht én geliefd om zijn semi-transparante telefoons, dappere designkeuzes en de knipoog naar oldskool tech. Vandaag voegt het bedrijf daar een betaalbare variant aan toe: de Phone (3a) Lite. Die naam roept meteen vragen op, want hoe 'Lite' is hij eigenlijk?

Vandaag heeft Nothing de Phone (3a) Lite officieel onthuld. Vanaf 4 november ligt het toestel ook daadwerkelijk in de winkel voor een bedrag van 249 euro. Er zijn twee uitvoeringen beschikbaar met 8 GB RAM en 128 of 256 GB opslag, en die zijn leverbaar in de kleuren zwart en wit. Beide varianten bieden ruimte voor een microSD-kaart tot 2 TB, wat in deze prijsklasse vrij uitzonderlijk is.

Met die vriendelijke prijs positioneert Nothing het toestel overigens slim tussen de budget- en middenklasse in. Dus ónder de Nothing Phone (3a), maar boven instappers van bijvoorbeeld Realme of Motorola.

©Nothing

Kleine concessies

De transparante achterkant blijft, maar het Glyph-systeem – de lichtstrips waarmee je meldingen op de achterkant kunt waarnemen – lijkt te ontbreken. Nothing vermeldt het in elk geval niet op de officiële pagina, wat doet vermoeden dat het systeem hier is geschrapt of versoberd. Het toestel heeft een glass finish en een IP54-certificering tegen stof en spatwater, maar is vermoedelijk niet volledig van glas.

Het scherm is een 6,77-inch amoledpaneel met een resolutie van 1084 × 2392 pixels, een piekhelderheid van 3000 nits en een adaptieve verversing van 120 Hz. Het toestel draait op een MediaTek Dimensity 7300 Pro-chip (8-core, 4 nm, tot 2,5 GHz) met een Mali-G615 GPU. Niet de snelste op aarde, maar ruim voldoende voor dagelijks gebruik en je favoriete spelletjes. De batterij heeft een vermogen van 5000 mAh en kun je met 33 watt opladen; in twintig minuten zit je op 50 procent, volledig laden duurt ongeveer een uur. Ook reverse charging (5 watt) wordt ondersteund.

De camera’s zijn inmiddels officieel bevestigd: een 50 MP-hoofdcamera (f/1.88), een 8 MP-ultragroothoeklens (f/2.2) en een 2 MP-macrocamera (f/2.4). De selfiecamera telt 16 MP. Video’s schiet je in 4K met 30 fps of 1080p met tot 60 fps. Daarmee is het een nette, zij het eenvoudige, cameraconfiguratie voor deze prijsklasse.

Software

De telefoon draait op Nothing OS 3.5 (gebaseerd op Android 15). Versie 4.0, gebaseerd op Android 16, volgt later met nieuwe camera- en lockscreenfuncties zoals Stretch mode en Lock Glimpse.

Die laatste optie zorgt trouwens wel voor enige opschudding: Lock Glimpse zou advertenties laten zien op je vergrendelscherm. Gebruikers moeten naar links vegen om ze te bekijken en de functie is weliswaar opt-in, maar het is wél een breuk met Nothings eerdere ‘geen bloatware, geen onzin’-imago. Het voelt een beetje wrang: het merk dat ooit minimalisme predikte, introduceert nu vrijwillige reclame. Maar goed, een kleine prijs voor een lage prijs, zullen we maar zeggen.

Niettemin lijkt de Nothing Phone (3a) Lite een charmant compromis. Minder luxe, minder toeters en bellen, maar nog steeds een eigen gezicht in een markt vol generieke toestellen. Wie vooral design en merkbeleving zoekt voor een zacht prijsje, zal hier vermoedelijk blij van worden.

©Nothing

Conclusie

Met de Phone (3a) Lite brengt Nothing een deel van zijn kenmerkende design naar een lagere prijsklasse. De hardware is degelijk, de prijs scherp en de uitstraling is toch herkenbaar. Maar er zijn ook duidelijke concessies: geen Glyph-lichtshow deze keer, de camera’s zijn bescheiden, en die optionele advertenties...? Nou ja, een aantrekkelijke instapper dus, zolang je weet wat je inlevert voor dat lagere prijskaartje.

Reizigers die de oversteek maken op de Noordzee naar Groot Brittannië of Noorwegen kennen het probleem: je moet je roaming uitzetten omdat je anders onbedoeld verbinding maakt met een dure maritieme provider. Dat is binnenkort verleden tijd, want door een samenwerking met Tampnet betaal je - net als in Nederland - gewoon de normale kosten voor het gebruik van je mobiele data en gesprekken bij in ieder geval KPN en Odido.

Mobiele provider KPN heeft aangeven dat klanten vanaf 1 november 2025 geen extra roamingkosten meer betalen als ze gebruik maken van mobiel internet en telefonie tijdens bijvoorbeeld een overtocht met een ferry naar Groot Brittannië. Door een samenwerking met maritiem provider Tempnet worden er geen exorbitante prijzen meer gerekend als je met je smartphone op internet surft. Ook klanten van Youfone en Simyo vallen onder deze nieuwe regeling.

Odido volgt in januari
Ook Odido heeft eerder al bekend gemaakt dat de roamingkosten voor klanten van deze provider, waar ook klanten van Ben en Simpel onder vallen, verdwijnen en ook deze klanten dus niet meer betalen dan in Nederland. Bij Odido verdwijnen de roamingkosten per 1 januari 2026.

Het is nog niet bekend wanneer andere provider zoals Vodafone roamingkosten zullen aanschaffen voor reizigers op de Noordzee, maar de verwachting is dat ook dit rond de jaarwisseling zal worden doorgevoerd.

Voorheen hoge kosten
Wanneer reizigers op het oude maritieme netwerk verbinding maakten met internet, konden de kosten extreem hoog oplopen. Bij Odido kon je bijvoorbeeld bundels afkopen voor 3 euro voor 25MB of of 25 euro voor 500MB, bedragen waar je dus behoorlijk diep in de buidel voor moet tasten. Had je geen bundel en maakte je per ongeluk verbinding, dan liepen de kosten nog verder op.