Auto’s hacken

Eerder deze week verscheen er een leuk artikel van collega Maarten Hartsuijker op Computable.nl over de risico’s van computersystemen in auto’s. Veel mensen denken dat informatiebeveiliging te maken heeft met hun PC of laptop, maar het gaat veel verder dan dat. Tegenwoordig zijn er steeds meer apparaten die (kleine) computers bevatten, en zijn we voor een goede werking van het apparaat afhankelijk van een goede werking van de computer. Neem bijvoorbeeld auto’s; in een gemiddelde moderne auto zitten tientallen ECU‘s  die bedoeld zijn voor het aansturen van specifieke functionaliteiten zoals bijvoorbeeld de injectie van brandstof, de klimaatregeling, het opblazen van de airbags, het activeren van de gordelspanners, en het remmen. Lees meer

VN KozijnTechniek overtreed privacywet

Stel je wilt nieuwe kozijnen laten plaatsen en je vraagt hiervoor een offerte aan bij een partij die je via Google hebt gevonden. Vervolgens komt de verkoper bij je over de vloer en ontvang je een offerte. Dit herhaal je een aantal keren om verschillende aanbieders te vergelijken. Dan ontvang je opeens een reclamefolder via de post van een firma waar je nooit contact mee hebt gezocht. De dagen daarna heb je herhaaldelijk gemiste oproepen op je telefoon van een nummer dat je niet kent, zonder dat er een voicemail wordt ingesproken. Voor mensen die een offerte hebben aangevraagd bij de firma VN KozijnTechniek klinkt dit vast herkenbaar. Lees meer

Linux op SSD: /var/log/ in tmpfs

Tegenwoordig bestaat er een prima alternatief op de klassieke harde schijf: de zogenaamde solid state drive (SSD). Voor degene die hier nog niet eerder van heeft gehoord: een SSD is eigenlijk een groot flashgeheugen zoals je dit bijvoorbeeld ook terugvindt in de kaartjes van je digitale fotocamera of je USB-stick. Een SSD is in vele opzichten beter dan harde schijf, waarvan snelheid met stip bovenaan staat. Een beetje SSD is gemiddeld 2x zo snel als een harde schijf. Uiteraard zijn er ook nadelen zoals de degradatie van de geheugencellen. Dit wil zeggen dat een geheugencel in een SSD slechts een beperkt aantal keren kan worden herschreven. Lees meer

Een betere beveiliging begint bij jezelf

Gisteravond was er een uitzending van KRO Reporter op Nederland 2. Reporter ontdekte dat vertrouwelijke en privacygevoelige informatie relatief makkelijk via internet is te benaderen als gevolg van slecht beveiligde randapparatuur. Denk hierbij bijvoorbeeld aan printers, scanners, beveiligingscamera’s, en netwerkschijven (ook wel bekend als een NAS). Tegenwoordig zijn veel van zulke apparaten voorzien van een webserver waarmee het mogelijk is om het apparaat via internet op afstand te bedienen. Handig, maar ook een risico. Lees meer

WhatsApp versleutelt berichtenverkeer in stilte

Iemand die het informatiebeveiligingnieuws in de gaten houdt, weet inmiddels dat WhatsApp al behoorlijk wat kritiek te verduren heeft gehad. En terecht, want WhatsApp heeft zijn zaakjes beveiligingstechnisch niet goed op orde. Zo werd in mei 2011 voor het grote publiek bekend dat WhatsApp berichtverkeer onversleuteld over het netwerk verstuurt, waardoor de gestuurde berichten vrij makkelijk zijn te onderscheppen door iemand met een beetje verstand van zaken. Lees meer

Datatracing.nl: irritante reclame van Re5 Europe BV

Als Information Security Officer maak je nog eens wat mee. Afgelopen week stond de CIO ineens aan mijn bureau met een recent ontvangen bubbeltjesenveloppe inclusief ‘vertrouwelijk’ stempel. In deze enveloppe zat een laptop harddisk in een gesloten antistatisch zakje, met daarop een sticker (zie afbeelding aan de rechterkant).

Enigszins verbaasd over het feit dat juist hij deze enveloppe krijgt en met sterke twijfels over het serieuze gehalte, is zijn eerste vermoeden dat het hier gaat om een of andere reclamestunt. Maar omdat het geheel niet vertrouwd aanvoelt, besloten we om geen enkel risico te nemen. De harddisk werd aan mij overhandigd en samen met collega Maarten Hartsuijker ging ik op onderzoek uit. Lees meer

VakantieVeilingen.nl voldoet niet aan WBP

Na een tip van een Jeroen, besloot ik eens een kijkje te nemen op de website VakantieVeilingen.nl. Best een leuk concept wat kan resulteren in scherpe prijzen. Toen ik me wilde aanmelden om te kunnen bieden op veilingen, viel het me op dat de site standaard geen gebruik maakt van een beveiligde HTTPS verbinding. Uit principe geef ik geen persoonsgegevens (in dit geval NAW, telefoonnummer, rekeningnummer) via internet af over een onbeveiligde verbinding. Een handmatige poging om een HTTPS verbinding te maken, resulteert in een waarschuwing van mijn browser: “Uw verbinding met deze website is slechts gedeeltelijk versleuteld en zal afluisteren niet voorkomen”. Niet het antwoord waar ik naar op zoek was. Lees meer

Cloud Computing: een nietszeggend begrip?

Cloud Computing heeft het afgelopen jaar behoorlijk wat media aandacht gekregen. Zelfs zoveel dat ik inmiddels allergische reacties begin te vertonen bij het horen van deze term. Begrijp me niet verkeerd; het is natuurlijk hartstikke mooi dat er steeds meer diensten via de browser worden aangeboden, maar het containerbegrip ‘Cloud Computing’ is inmiddels op zoveel verschillende manieren misbruikt dat het voor mijn gevoel een nietszeggend begrip is geworden. Lees meer

Samba en het legen van de NetBIOS cache

Door de recente aanschaf van een NAS sloeg ik aan het experimenteren met de opties van dit veelzijdige apparaat. Dit had op een gegeven moment tot gevolg dat er een foutief ip-adres in de NetBIOS cache van mijn WINS serverapplicatie (onderdeel van Samba op mijn op mijn Linux server/router) terecht kwam. Hierdoor kon ik mijn NAS niet meer benaderen met behulp van de zogenaamde ‘share-naam’ omdat deze naam was gekoppeld aan een foutief ip-adres. Het verwijderen van het foutieve ip-adres uit de cache bleek nog niet zo eenvoudig. Lees meer

SHA-1 toe aan vervanging?

De vraag “moeten we SHA-1 niet vervangen door iets beters?” heb ik de laatste tijd al op verschillende plaatsen voorbij horen komen. Voor een van mijn klanten heb ik zelfs een kort memo geschreven met mijn visie op deze vraag. Ik denk dat het niet nodig is om per direct van SHA-1 af te stappen. In de meeste gevallen kunnen we met SHA-1 nog prima vooruit, tenzij er nieuwe kwetsbaarheden ontstaan. Dan zal opnieuw moeten worden bekeken of het risico is toegenomen. Lees meer