Enkele maanden geleden vroeg ik mijn LinkedIN netwerk om hulp inzake BitLocker. Ik wilde graag weten of een UEFI / BIOS boot wachtwoord, vergeleken met een TPM pre-boot PIN, ook bescherming biedt tegen het zogenaamde ‘running state’ risico. Microsoft lijkt namelijk te impliceren dat dit zo is, maar ik had moeite om in deze interpretatie mee te gaan. Hoewel ik niet direct een antwoord kreeg, werd ik wel in de juiste richting gestuurd. Na het nodige speurwerk ben ik eruit: alleen een TPM pre-boot PIN biedt bescherming tegen het running state risico. Lees meer

Wanneer je zaken doet met een leverancier van ICT diensten, dan maak je passende afspraken met elkaar. Niet alleen over prijzen en algemene voorwaarden, maar ook over privacy en informatiebeveiliging. Ik wil vooral even stilstaan bij deze laatste categorie: de afspraken op het gebied van informatiebeveiliging. Lees meer

Sinds er een embedded Chrome browser beschikbaar is in Burp Suite (vanaf versie 2020.7) maak ik hier regelmatig gebruik van als vervanger van Firefox met een separaat profiel. Toen ik eerder deze week bezig was met het uitvoeren van een pentest tegen een Lotus Domino webapplicatie, werkte een CSRF aanval niet terwijl ik dit wel had verwacht. Lees meer

We bevinden ons sinds twee maanden in een intelligente lockdown vanwege de Coronacrisis. Op dit moment worden de maatregelen langzaam versoepeld, maar voorlopig werken nog steeds veel mensen vanuit huis en zullen zij dat wellicht ook na de Coronacrisis steeds vaker doen. Hoewel er de laatste tijd al door verschillende organisaties aandacht is besteed aan digitale veiligheid van thuiswerkers, vind ik de gegevens tips vaak beperkt bruikbaar of onvolledig. Lees meer

Dat ICT onmisbaar is in onze samenleving wisten we al. De huidige Coronacrisis laat zien dat we onder bepaalde omstandigheden nóg meer steunen op een betrouwbare werking van ICT voorzieningen. Het valt echter op dat veel organisaties informatiebeveiliging even op een laag pitje zetten: “De focus ligt nu even op het primaire proces en het maximaal besparen van kosten” is het meest gehoorde argument. Ik begrijp het wel; hetzelfde resultaat moet worden bereikt onder beperkte omstandigheden met minder mensen, terwijl de kosten gelijk blijven of toenemen, en omzetten (mogelijk) afnemen. Kortom, organisaties verkeren in een crisis of verwachten hier binnenkort in te geraken, en dat vraagt om een andere aansturing. Toch is het niet verstandig om de aandacht voor informatiebeveiliging teveel te laten verslappen. Lees meer