update i T S X DE COLUMN 2 Walter Belgers

Your Security is Our Business

21

mei 2014

u p d a t e DE COLUMN

2

HET NIEUWS

3

HET INTERVIEW

4

DE KLANT

7

DE HACK

8

Walter Belgers

• Migratie van IPv4 naar IPv6 • NLUUG voorjaarsconferentie • Voor de tweede keer is opgeven geen optie voor Remco Huisman Interview met Marietje Schaake, Europarlementariër voor D66 8 vragen aan Lennaert van der Hoeven, partner bij Bridgevest Aanvallen met een Advanced Persistent Threat door Daniël Dragicˇ evic´

HET EVENT

10

HET INZICHT EXTRA

12

ITSX

14

HET INZICHT

16

Black Hat Sessions Part XII: Inlichtingendiensten, Spionage en Privacy Remco Huisman over Red Teaming

• Marcus Bakker over de Heartbleed bug • Verslag van het Founders Kite Club event door Ralph Moonen Matthijs Koot over de vervagende grens tussen inlichtingen en opsporing

agenda 19 HET COLOFON

i

T

S

X

19

Nog een paar weken en dan gaat de Black Hat Sessions Part XII van start! Zie pagina 10 voor het spannende programma en de relatiekortingscode

In iedere Madison Gurkha Update vindt u een leuke en informatieve column, die de lezer een verfrissende kijk biedt op uiteenlopende onderwerpen rondom IT-beveiliging. Deze keer Walter Belgers over het post-Snowden tijdperk.

de column

Snowden Heb ik uw aandacht, of bent u al een beetje Snowdenmoe? Het feit dat er op grote schaal gespioneerd wordt, houdt de gemoederen nog steeds bezig. Het is ook een enge gedachte dat als je allerlei hardware en software in huis haalt, je eigenlijk niet meer goed kunt zien of die wel te vertrouwen is. De NSA onderschepte bijvoorbeeld routers die per post verstuurd werden en bouwde er een achterdeurtje in. Wie had dat verwacht? Eigenlijk iedereen die er eens goed voor gaat zitten en nadenkt over waar de zwakke plekken zitten. Die kunnen zitten in de corporate webserver, in die vriendelijke receptioniste die gasten ontvangt, in de medewerker die op een link in een mailtje klikt, of in de routers die in het buitenland worden besteld en per post worden afgeleverd. Beveiliging is zo sterk als de zwakste schakel en eigenlijk zou je dus holistisch naar de beveiliging van je kroonjuwelen moeten kijken. (Weet u trouwens wel wat uw kroonjuwelen zijn, en waar die zich in uw netwerk bevinden? Maar dat is iets voor een andere column.) Veel van onze klanten hebben ook een holistische blik: we bekijken voor ze hoe het met de beveiliging van bepaalde websites is gesteld, of we via het WiFi-netwerk toegang kunnen krijgen of via ‘social engineering’ – het aanvallen van de mens in plaats van de machine – en we kijken wat we zoal aantreffen als we eenmaal op hun interne netwerk zitten. Dat gebeurt vaak als losse opdrachten, waarbij je uiteindelijk een goed totaalbeeld krijgt. Een aanvaller gaat echter anders te werk: als die ziet dat er bijvoorbeeld op de website weinig is te halen, zal hij zijn zinnen snel op iets anders zetten, zoals bijvoorbeeld een social engineering aanval. Zo’n soort aanpak levert Madison Gurkha ook, onder de naam Red Teaming. Hoewel het een modewoord is, is de aanpak een prima manier om snel zicht te krijgen op de belangrijkste zwakheden in de beveiliging. Het blijft echter zaak om alle systemen te blijven controleren op beveiliging. Meer over de Red Teaming dienst leest u verderop in deze Update. Het nieuws dat er op grote schaal informatie wordt verzameld en geanalyseerd, houdt de gemoederen zoals gezegd veel bezig. Er is een grote asymmetrie: overheden hebben de beschikking over veel gegevens van haar onderdanen, maar andersom is dat niet het geval. Als je zuinig bent op je eigen gegevens, krijg je het steeds moeilijker. Kunnen we nog leven zonder GSM, zonder OV-chipkaart, zonder auto met kentekenplaten, zonder betaalpasjes en zonder plekken te bezoeken waar camera’s

2

Madison Gurkha mei 2014

met gezichtsherkenning hangen, zonder Facebook? Dat is vrijwel onmogelijk geworden en dat heeft vergaande gevolgen voor onze privacy. Als je weet dat je in de gaten wordt gehouden, heeft dat invloed op je gedrag. Dus zelfs als de gegevens niet worden bekeken, heeft het verzamelen ervan al invloed op onze manier van leven en denken. We vinden dit onderwerp, dat wil zeggen spionage, de rol van inlichtingendiensten en de gevolgen voor onze privacy, zodanig belangrijk dat we er dit jaar ons jaarlijks congres, de Black Hat Sessions, aan wijden. Het is alweer de twaalfde editie die we organiseren en we hebben weer een mooie lijst aan sprekers weten te strikken. Ook hierover leest u meer verderop in deze Update. Nieuw is, dat we u tijdens de Black Hat Sessions de gelegenheid geven om zelf een geavanceerde aanval uit te voeren, zoals een inlichtingendienst dat zou kunnen doen. Medewerkers van Madison Gurkha zullen de deelnemers begeleiden in het programmeren van een ‘Teensy’, een USB-apparaat dat zich kan voordoen als een toetsenbord en geheel autonoom, door toetsaanslagen naar de computer door te sturen, een aanval uit kan voeren. Na het volgen van de workshop heeft u dus een cyberwapen in handen zoals een cybercrimineel of inlichtingendienst zou kunnen maken. Wellicht vraagt u zich na afloop af wat het verspreiden van zo’n apparaatje binnen uw organisatie voor gevolgen zou hebben. Dat is ook precies wat we willen propageren. Het is zoiets als wanneer u de voordeur achter u in het slot gooit zonder een sleutel op zak te hebben. U gaat dan als inbreker naar uw eigen huis kijken. Het blijkt dan vaak redelijk eenvoudig om ‘in te breken’, waarna natuurlijk onmiddellijk maatregelen worden genomen om de beveiligingsproblemen op te lossen. Als u met eenzelfde kritische blik kijkt naar uw eigen IT-landschap, vindt u wellicht al veel zaken waar eenvoudig (beveiligings) winst is te halen. Ik wens u daarbij veel wijsheid toe! Walter Belgers Partner, Principal Security Consultant

In ‘Het Nieuws’ belichten we nieuwe ontwikkelingen in de IT-beveiligingswereld en rondom Madison Gurkha.

het NIEU W S

De wereld van open systemen en open standaarden is heftig in beweging. De

IPv4

> IPv6

markt zoekt naar verbeteringen op het gebied van opschaalbaarheid, virtualisatie en veiligheid. De

De migratie van IPv4 naar IPv6 zet gestaag door, en momenteel wordt al 3% van de bezoeken aan Google-diensten via IPv6 gedaan. Vanuit een beveiligingsperspectief is het uiteraard belangrijk dat IPv6 ook op een goede manier is ingericht. Om dit effectief te kunnen testen hebben Madison Gurkha, Fox-IT, ITsec, Pine Digital Security en Riscure in samenwerking met TNO gezamenlijk een IPv6-beveiligingstestplan opgesteld. Ook het Ministerie van Economische Zaken heeft het onderzoeksproject gesteund door middel van een subsidie. Lees het volledige rapport op onze website.

NLUUG-voorjaarsconferen-

Tijdens de Black Hat Sessions op 17 juni a.s. verzorgt Sander Degen, security consultant bij TNO ICT, een technische presentatie waarbij hij op basis van het IPv6-beveiligingstestplan uitlegt wat er fout kan gaan met IPv6, hoe dit misbruikt kan worden, maar uiteraard ook hoe de problemen op te lossen zijn. Lees snel verder voor het volledige Black Hat Sessions programma en de speciale kortingscode op pagina 10-11 van deze Update.

plaats op 15 mei a.s. in het

tie 2014 duikt dan ook in onderwerpen als security en configuration management. De conferentie vindt Postillion hotel in Bunnik. Bent u erbij? Wij ontmoeten u graag op onze stand.

Voor de tweede keer is opgeven geen optie Geld inzamelen voor het KWF is onverminderd nodig. Ook dit jaar zet Remco Huisman, partner van Madison Gurkha, zich sportief in voor dit goede doel! Op 5 juni doet hij voor de tweede keer mee met de Alpe d’HuZes. Samen met “Team Boezem” gaat hij de uitdaging aan om zoveel mogelijk geld in te zamelen voor KWF kankerbestrijding. Die naam roept wellicht bij sommigen wat vragen op. “De naam Team Boezem is afkomstig van de naam van de vriendengroep

uit mijn studietijd. Wij noemen elkaar nog steeds “De Boezem”, naar het studentenhuis in De Boezemstraat in Rotterdam-Crooswijk, waar het allemaal ooit begonnen is...”. Wil je Remco en het goede doel steunen? Je kunt een vaste donatie doen, of een toezegging per beklimming (reken op 6 keer). Elke donatie groot of klein is zeer welkom! Doneren kan via: http://deelnemers.opgevenisgeenoptie.nl/acties/remcohuisman/ remco-huisman.


3

Deze keer een diepte-interview met Marietje Schaake, Europarlementariër voor D66, in de ‘Alliance of Liberals and Democrats for Europe’ (ALDE).

het interview

“Terwijl technologie zich razendsnel ontwikkelt, blijven weten regelgeving achter” Om relevant, slim beleid te maken, moeten politici meer weten over technologie en mensen die zich met technologie bezig houden zouden er goed aan doen te weten hoe wetten en regels hen raken. “Het verbinden van politieke kringen en technologie-experts is een van mijn doelen”, aldus Europarlementariër Marietje Schaake.

4


het interview

Wassenaar Mede dankzij uw campagne “Stop Digitale Wapenhandel” staat “intrusion software” sinds december jl. op de Wassenaar-lijst van export-controlled dual-use goederen. Hierdoor kan intrusion software die niet vrij verkrijgbaar is, niet meer vrij worden verhandeld naar, zeg, autoritaire regimes. Was dit op voorhand een gewonnen race of is er tegenstand geweest? Bepaalde technologieën en systemen worden over de hele wereld gebruikt om mensenrechten te schenden en mensen te onderdrukken, maar zijn ook een bedreiging voor onze eigen digitale infrastructuur. De maatregelen om de export van dit soort technologie te controleren waren zeker niet op voorhand een gelopen race; dat is nog steeds niet zo. Na allerlei voorstellen en meer bewustwording van de gevaren van het huidige vacuüm in regelgeving, is er in de context van het Wassenaar Arrangement een eerste stap gezet om de lijsten die bijvoorbeeld worden gebruikt bij wapenembargo’s uit te breiden met technologieën met een indringende impact. De Lidstaten en de Europese Commissie hebben zeer traag gehandeld, ook als reactie op eerdere voorstellen van het Europees Parlement om de Europese exportcontrole op technologie effectiever te maken. Hopelijk zijn ze daar nu wel toe bereid in de aankomende herziening van de exportcontrolewetgeving. U heeft opgemerkt dat het plaatsen van intrusion software op de Wassenaar-lijst een “eerste stap” is, maar dat het taalgebruik nog niet voldoende precies is, ruimte laat voor interpretatie1. Kunt u dit toelichten? Onder veel technologie-experts leeft nog een trauma van de ‘cryptowars’. We moeten natuurlijk altijd zorgen dat we precies de juiste technologie en software controleren, en geen onbedoelde negatieve gevolgen veroorzaken voor de markt of voor ethische hackers. Door te werken met licenties voor economische transacties ontstaat meer transparantie, en kan per geval worden beoordeeld of een deal (export) wel of niet kan plaatsvinden. Als liberaal vind ik dat we geen regels moeten creëren waar ze niet nodig zijn, zeker niet als het gaat om internet en technologie. Toch is de status quo niet houdbaar. De Europese Unie verliest aan geloofwaardigheid wanneer we aan de ene kant oproepen om digitale vrijheid, vrije meningsuiting, en toegang tot informatie in een land te respecteren, maar de regering in kwestie weet dat het technologie uit Europa gebruikt om haar bevolking te onderdrukken. Daarnaast moeten we het strategisch belang niet onderschatten, wil je landen die op vijandige voet staan zonder enige controle, technologie leveren die tegen Europese bedrijven, overheden, journalisten of burgers kunnen worden ingezet. Sommige technologiebedrijven gedragen zich als de wapenhandelaars van het internettijdperk. Er is nog een heleboel te doen voordat we van slimme, passende wetgeving kunnen spreken.


5

Wat is de volgende stap, en hoe komen we daar? De eerstvolgende stap is om de herziening van de Wassenaar-lijst naar het Europees niveau te brengen. Ook wordt een update van de dual-use regelgeving op Europees niveau verwacht. Tegelijkertijd moeten we aan het werk om de definities helder te krijgen en om te zorgen dat de wetgeving als geheel effectiever werkt, bijvoorbeeld door de fragmentatie van de controle aan te pakken. Momenteel worden afspraken over export op Europees niveau gemaakt, maar is de uitvoering en controle in handen van lidstaten. Daardoor kunnen verschillen ontstaan, en dat is niet goed voor een gelijk speelveld en concurrentie in de Europese interne markt. Bedrijven hebben behoefte aan duidelijkheid. De Europese Commissie komt binnenkort met een voorstel. Ik zal daar zeer kritisch naar kijken en vanuit het Parlement blijven werken om het exportcontrolebeleid als geheel meer coherent en vooral relevant te maken.

Post-Snowden internet

Marietje Schaake (@MarietjeSchaake) is Europarlementariër voor D66, in de ‘Alliance of Liberals and Democrats for Europe’ (ALDE). Marietje is lid van de parlementaire commissie voor Buitenlandse Zaken, waar zij zich richt op het EU nabuurschapsbeleid, met een focus op Turkije en Iran, en mensenrechten, in het bijzonder de vrijheid van meningsuiting en digitaleen media vrijheid. In de commissie voor Cultuur en Onderwijs werkt Marietje aan de Europese Digitale Agenda en de rol van cultuur en nieuwe media in de externe relaties van de EU. In de commissie voor Internationale Handel ligt de nadruk in haar werk op diensten en technologie, intellectueel eigen-

In januari is aangekondigd dat een commissie onder voorzitterschap van de Zweedse minister van BuZa twee jaar lang onderzoek gaat doen naar de toekomst van het post-Snowden internet. U bent één van de 25 panelleden die het onderzoek uitvoeren. Wat is het doel van dit onderzoek, en wat zijn uw verwachtingen? Het doel van deze Commissie is om voorstellen te doen over de toekomst van internet governance. De NSA-schandalen hebben het thema zichtbaarder gemaakt, maar ook daarvoor werden vragen over het bestuur van het internet steeds urgenter. Er is bijvoorbeeld behoefte aan een nieuwe invulling van het multi-stakeholder model, waarbij niet alleen regeringen, maar ook bedrijven en maatschappelijke organisaties een rol spelen. Daartegenover staan staten die juist zelf meer grip op internet willen afdwingen. Voor mij staat het behoud van een vrij en open internet en de rechten van gebruikers voorop. Ik hoop dat we een concretere invulling kunnen geven aan hoe we transparantie, efficiëntie en verantwoording binnen het multi-stakeholder model kunnen vergroten. Ook is het essentieel dat argumenten van nationale veiligheid niet misbruikt worden om vrijheid en fundamentele rechten in te perken.

domsrecht, de vrije doorstroom van informatie, de trans-Atlantische handelsrelaties en de relatie tussen handel en het EU buitenland beleid.

1. http://www.marietjeschaake. eu/2013/12/first-steps-towardscurbing-digital-arms-exportswelcome/ 2. http://blog.cyberwar.nl/2014/03/ dutch-enkele-gedachten-bijongerichte.html

6


In het panel zitten ook zwaargewichten die bovengemiddeld gecharmeerd zijn van surveillance, bijvoorbeeld het voormalige GCHQ-hoofd Sir David Omand, en de voormalige minister van Homeland Security en co-auteur van de Patriot Act Michael Chertoff. Is de andere stem, zoals die van u, binnen dat panel luid genoeg? Zal er eerlijk en kritisch worden gekeken naar het ‘waarom’ van massasurveillance? Juist in zo een gezelschap is een tegengeluid essentieel. Ik denk dat het belangrijk is om ook met mensen waarmee ik het niet bij voorbaat eens ben, in gesprek te gaan. Bovendien zal de commissie worden ondersteund door een brede consultatie in het maatschappelijk veld en de private sector. Op die manier kunnen we een brede discussie

aangaan met verschillende groepen mensen over het belang van digitale vrijheden, mijn primaire aandachtspunt in deze discussie. Overigens moet de eerste bijeenkomst van de Commissie nog plaats vinden. Ik hoop daar antwoorden te krijgen op de vele vragen die ik heb over het gezelschap en de agenda.

Europa en Nederland In Nederland is een debat gaande over vernieuwing van de Wet op de inlichtingen- en veiligheidsdiensten uit 2002 (Wiv2002). Eén van de voorstellen is de diensten de bevoegdheid te geven tot ongerichte interceptie van kabelgebonden communicatie2. Het Europees Parlement heeft in maart een tekst aangenomen waarin de Nederlandse regering wordt aangedrongen om “af te zien van een zodanige uitbreiding van de bevoegdheden van de inlichtingendiensten dat een ongerichte en grootschalige surveillance van kabelgebonden communicatie van onschuldige burgers mogelijk zou worden”. Waarom moet Nederland afzien van deze uitbreiding? Is het niet mogelijk dat er overtuigende argumenten zijn vóór uitbreiding? De basis voor elke bevoegdheid van elke inlichtingendienst moet zijn dat die slechts wordt gebruikt onder rechterlijke toetsing en met democratisch toezicht. We zien nu dat bestaande bevoegdheden, zoals satellietinterceptie nog niet voldoende gecontroleerd worden. Het is belangrijk dat we dat eerst goed regelen, voordat we beginnen aan het uitrollen van nieuwe bevoegdheden. Bovendien zijn er vragen te stellen bij de noodzaak om zo breed en ongebonden op de kabel communicatie van burgers te surveilleren. Bij elke maatregel moeten we ons afvragen of we de open samenleving die we willen beschermen daadwerkelijk verstevigen, of dat we bezig zijn haar kernwaarden van binnenuit uit te hollen onder het mom van nationale veiligheid en anti-terrorisme. Het Nederlandse parlement is traditioneel weinig geïnteresseerd in inlichtingen- en veiligheidsdiensten. In Europa lijkt er meer te gebeuren: de LIBEcommissie. Hoe krijgen we dit onderwerp op de agenda van de Nederlandse politiek? Ten eerste is dit niet een typisch Nederlands verschijnsel, in de meeste Europese lidstaten is de interesse hierin niet erg groot. Alleen in Duitsland wordt nu een parlementaire enquête gestart. D66 wil dat dat ook in Nederland gebeurt, maar daar was niet genoeg steun voor in de Tweede Kamer. Toch zien we dat Europese burgers wel degelijk maatregelen nemen, door bijvoorbeeld over te stappen op niet-Amerikaanse clouds of andere diensten. Amerikaanse bedrijven die zijn geïmpliceerd in de NSA-schandalen nemen dit heel serieus. Hier ligt misschien ook een rol voor het Europese bedrijfsleven om dit punt hoger op de politieke agenda te krijgen. Tijdens de Black Hat Sessions Part XII op 17 juni a.s. in Ede zal Marietje Schaake een keynote lezing geven. Meer informatie over het congres vindt u elders in deze Update.

In elke Madison Gurkha Update laten wij een klant aan het woord. Dit keer een openhartig gesprek met Lennaert van der Hoeven van Bridgevest.

de klant

8 vragen aan ... ... Lennaert van der Hoeven, één van de vier partners van Bridgevest.

1

Wat doet Bridgevest? Bridgevest is een bureau dat zich richt op online communicatie voor de financiële sector bestaande uit o.a. pensioenfondsen, verzekeraars, investment managers en retail banken. De dienstverlening van Bridgevest is gebouwd op drie pijlers; 1 pensioencommunicatie, 2 software & solutions en 3 financial marketing. Hierbinnen bieden wij het complete pakket: van strategie tot development en creatie.

5

B-Lab is de development kweekvijver van Bridgevest. Kun je daar wat meer over vertellen? B-Lab is ontstaan als een label binnen Bridgevest, dat onze developers koppelt aan interaction designers en creatieven. Gezamenlijk vormen zij het hart van het projectteam wanneer het aankomt op software & solutions projecten. Daarnaast wordt het B-Lab ook vaak ingezet voor projecten in de andere twee pijlers. Dit kan gaan om serious gaming projecten, maar ook om zaken als online deelnemerportalen voor de pensioensector.

6

2 3

Hoe is de informatiebeveiliging opgezet binnen de organisatie? In een organisatie als de onze is de tijd die je hebt voor de opzet van een informatiebeveiligingsbeleid altijd krap, de actuele projecten voor klanten krijgen immers snel voorrang. Toch beseffen wij ons als Bridgevest dat we op dit gebied grondig te werk moeten gaan. Steeds meer van onze klanten krijgen namelijk te maken met strengere eisen op het gebied van informatiebeveiliging en dit heeft gevolgen voor de gehele keten van een dergelijke organisatie. Tijdens ons wekelijkse partneroverleg is dit onderwerp dan ook een vast agendapunt.

4

Bridgevest biedt haar klanten toegang tot diverse applicaties via een SaaS-oplossing. Welke maatregelen worden genomen om de IT-beveiligingsrisico’s onder controle te houden? Binnen onze SaaS-applicatie genaamd OnTrack gaan deelnemers van pensioenfondsen aan de slag met hun pensioensituatie. Hiervoor maken we gebruik van data die wij van de pensioenuitvoerder ontvangen en van data die door de deelnemer zelf worden opgevoerd. De opslag en de toegankelijkheid van deze gegevens hebben dan ook onze constante aandacht. We besteden veel aandacht aan versleuteling van data, het voldoen aan eisen qua certificering van datacenters, maar ook stellen we behoorlijke eisen aan het informeren en ‘informed consent’ van de deelnemer zelf. De persoon moet goed weten of hij gegevens wil bewaren en zo ja, welke.

Welke support biedt Bridgevest aan haar klanten met betrekking tot de IT-beveiliging van haar producten? Naast onze SaaS-oplossing OnTrack bieden wij onze klanten maatwerkoplossingen, waarbij volledig tegemoet gekomen wordt aan de wensen van onze klanten en de eisen die aan hen gesteld worden door hun security officers en ons B-Lab team. In dergelijke trajecten zal er altijd in samenspraak met de klant een risico-analyse plaatsvinden en zorgen wij voor een geschikte oplossing. Wat zijn de belangrijkste uitdagingen op het gebied van informatiebeveiliging? De kaders die ons gesteld worden, zijn mede afhankelijk van de toezichthouders van onze klanten. Een van de meest actuele voorbeelden hiervan zijn de DigiD-audits. Onze klanten die als inlogmechanisme gebruikmaken van DigiD, moeten elk jaar een rapportage aan Logius opleveren. Uitdaging voor onze klanten en in bepaalde mate ook voor ons zijn vooral de procedurele zaken binnen informatiebeveiliging. De technische zijde is geen probleem, maar vanwege de korte doorlooptijd van de projecten die wij opleveren is het belangrijk oog te houden voor de procedurele kant.

7

Hoe ondersteunt Madison Gurkha en ITSX daarbij? Uiteraard houden wij ons zeer goed op de hoogte van de eisen die aan onze klanten gesteld worden op het gebied van informatiebeveiliging. Daarnaast zijn we sinds 2013 in contact met Madison Gurkha en ITSX om niet alleen de periodieke technische en procedurele onderzoeken uit te voeren, maar tevens vooruit te kijken naar eventuele risico’s en eisen die op ons af kunnen komen. Om die reden organiseren wij nu al workshops in samenwerking met Madison Gurkha en ITSX. En wij zouden Bridgevest niet zijn wanneer we ook onze klanten hiervan mee laten profiteren in speciale workshops gericht op hun sector.

8

Wat zijn uw ervaringen met Madison Gurkha en ITSX Tot op heden zijn onze ervaringen zeer goed. Buiten de uiteraard zeer professionele aanpak van beide partijen, is ook de onderlinge afstemming en communicatie zeer prettig en vriendelijk. Tevens merken wij dat onze klanten en prospects bij het horen van de naam Madison Gurkha onder de indruk zijn. En dat is voor een online bureau als Bridgevest natuurlijk nooit weg…


7

Elders in deze Update leest u wat Red Teaming inhoudt en welke factoren een rol spelen bij het succesvol uitvoeren ervan. In deze rubriek laat Daniël Dragicˇevic´ zien hoe een dergelijke aanval is uitgevoerd.

de hack

Aanvallen met een Advanced Persistent Threat Bij een Red Teaming opdracht die Madison Gurkha onlangs heeft uitgevoerd zijn verschillende hacking en social engineering technieken toegepast om zo onopvallend mogelijk tot een succesvolle aanval te komen. Het doel van deze aanval was het binnendringen van en langdurige toegang behouden tot het interne netwerk van een grote multinational. Ik geef u hierbij graag een uniek kijkje in onze keuken. Uiteraard hebben we - omwille van geheimhouding - de uitgevoerde aanval in een fictieve setting geplaatst.

8


Scenario Het fictieve bedrijf ‘MG-Retail’ is een internationale retailer en handelt in kantoorartikelen. Zij hebben ons de opdracht gegeven om te onderzoeken of we langdurig toegang tot het interne netwerk kunnen krijgen en het daarop aanwezig SAP-systeem. Voorbereiding We starten ons onderzoek met het zoeken in open bronnen (OSINT). Onderzoek in open bronnen als Google, LinkedIn, Facebook, Twitter, de bedrijfswebsite en andere branchewebsites leert ons dat MG-Retail een groot bedrijf is en dat een aantal medewerkers van de afdeling inkoop enige tijd geleden een beurs over maatschappelijk verantwoord inkopen heeft bezocht. We besluiten om de medewerkers een bedankje te sturen voor het bezoeken van de beurs. Toegang verkrijgen We gebruiken voor de aanval een ‘Teensy’. Dit is een stukje hardware dat kan worden geprogrammeerd als USB-toetsenbord, muis, en/of USB-opslagmedium. We zoeken op internet naar een USB-gadget waarin we een Teensy kunnen plaatsen. We gebruiken voor deze aanval een USB-muis. We laten de chip zich voordoen als USB-toetsenbord zodat deze onze voorgeprogrammeerde toetsaanslagen naar de PC stuurt. In dit scenario programmeren we de Teensy zodanig dat wanneer deze wordt aangesloten, er een URL geopend wordt waarop onze exploitcode wordt aangeboden. De URL is per muis anders, zodat we weten welke muis exact is gebruikt door welke gebruiker. De exploit-

de hack

code zal ons toegang geven tot het systeem van het slachtoffer. De uitdaging is om de Teensy in de USB-muis te bouwen zonder de functies van de muis aan te tasten. Hiervoor maken we gebruik van een kleine USB-hub. Door de hub tussen de muis en de Teensy te plaatsen, kunnen beide apparaten worden gebruikt. Exploitcode Om onze aanval zo onopvallend mogelijk te laten plaatsvinden, zullen we ervoor moeten zorgen dat de exploitcode die we aanbieden niet door een virusscanner wordt opgemerkt. Om dit te bewerkstelligen passen we enkele publiek bekende Java exploits aan. Het aanpassen van deze exploits bestaat vooral uit het weghalen van overbodige code. Naast het aanpassen van de exploitcode, passen we ook de metasploit-payload aan die ervoor zorgt dat het geïnfecteerde systeem een verbinding opzet naar onze server. We testen de aangepaste exploit- en payloadcode tegen lokale installaties van een aantal verschillende antivirusproducten. Zodra blijkt dat onze code op de testsystemen niet door virusscanners gedetecteerd wordt en probleemloos wordt uitgevoerd, kunnen we verdergaan met het uitvoeren van de aanval. Nadat we onze initiële toegang hebben verkregen, zorgen we ervoor dat we langdurige toegang tot de omgeving behouden. Om dit mogelijk te maken schrijven we een script dat ervoor zorgt dat onze payloadcode, waarmee een verbinding naar onze server wordt gemaakt, wordt uitgevoerd. Dit script wordt opgeslagen in het profiel van de gebruiker en zal worden gestart zodra de gebruiker inlogt op zijn of haar systeem. De aanval Nu de afzonderlijke onderdelen zijn gemaakt en getest, kunnen we een aantal pakketjes samenstellen met daarin een geprepareerde muis en een begeleidende brief waarin we de medewerker bedanken voor zijn/haar bezoek aan de beurs. Deze pakketjes sturen we op naar de medewerkers die als doelwit zijn aangemerkt. Enkele dagen later zien we de eerste verbindingen op onze server binnenkomen.

We hebben op dit moment toegang tot het interne netwerk van het ‘MG-Retail’. De vraag is nu, hebben we langdurige toegang tot dit netwerk en zijn we gedetecteerd door de klant? We maken een verbinding naar het geïnfecteerde systeem en controleren of ons ‘persistence’-script in het profiel van de gebruiker is opgeslagen. Dit blijkt het geval te zijn. Ook controleren we de logging van het systeem en de beveiligingssoftware om te achterhalen of onze aanval is gedetecteerd. We zien dat onze aanval onopgemerkt is gebleven. Op zoek naar de kroonjuwelen Nu we toegang hebben tot één van de systemen in het interne netwerk, kunnen we het interne netwerk in kaart gaan brengen. We starten met het afluisteren van het netwerkverkeer. Hieruit blijkt dat het netwerk uit meerdere segmenten bestaat. Door het uitvoeren van specifieke DNS-verzoeken en specifieke (onopvallende) poortscans, brengen we het netwerk in kaart en concluderen we dat een groot deel van de infrastructuur bestaat uit gevirtualiseerde serversystemen. Ook zien we dat de ESX-servers, waarop de virtuele machines draaien, een kwetsbaarheid bevat. Door het uitbuiten van deze kwetsbare ESX-server, krijgen we toegang tot alle gevirtualiseerde systemen. Hieronder bevinden zich onder andere de Active Directory-servers waarop alle gebruikersaccounts (inclusief wachtwoordhashes) staan opgeslagen. Door de virtuele harde schijf te kopiëren en de gebruikersdatabase te exporteren, kunnen we ons voordoen als een willekeurige gebruiker in de organisatie. Dit geeft ons de mogelijkheid om ongemerkt op zoek te gaan naar financiële, concurrentiegevoelige en andere interessante informatie in het netwerk en de SAP-systemen. Dit scenario laat zien hoe één handeling van een eindgebruiker, het aansluiten van een relatiegeschenk, kan leiden tot een grootschalige hack op een organisatie en het lekken van grote hoeveelheden gevoelige informatie, zonder dat iemand iets in de gaten heeft.

1. https://www.pjrc.com/teensy/


9

Dit jaar organiseert Madison Gurkha alweer de twaalfde editie van de inmiddels befaamde Black Hat Sessions.

het event

17 juni 2014 | De Reehorst in Ede | Black Hat Sessions XII

Inlichtingendiensten, Spionage en Privacy

Achter deze begrippen gaat een complexe wereld schuil. In een gevarieerd dagprogramma zal op een aantal deelonderwerpen zowel verbreding als verdieping worden gezocht, waaronder de technische aanpak van de detectie van aanvallen, socio-technologische analyse van aanvalspaden, beweegredenen achter Chinese spionage en het spanningsveld tussen overheid en individu op het gebied van versleuteling en aftapbaarheid in het post-Snowden internet. In één dag wordt u door inspirerende sprekers bijgepraat over deze actuele thema’s en het is natuurlijk ook een uitgelezen kans om met anderen van gedachten te wisselen over al deze onderwerpen. Dit jaar hebben wij in het programma voldoende ruimte vrijgemaakt voor parallelle tracks zodat u ongeacht uw technische achtergrond een interessant programma kunt volgen. Een aantal lezingen en demonstraties zijn diep-technisch, terwijl andere juist interessant zijn voor leidinggevenden en/of beslissingsnemers. Zie ook het volledige programmaoverzicht hiernaast.

Keynotes We hebben D66-Europarlementariër Marietje Schaake (zie ook het uitgebreide interview elders in deze Update) en de nieuwe directeur Cyber Security, Wilma van Dijk, van de Nationaal Coördinator Terrorismebestrijding en Veiligheid bereid gevonden om tijdens de Black Hat Sessions Part XII een keynote lezing te verzorgen. Beide prominenten zijn vanuit hun positie nauw betrokken bij de thema’s en zij zullen u een interessante kijk bieden op de materie. Meld u aan als relatie van Madison Gurkha Wij hopen dat u deze dag samen met ons wilt doorbrengen in De Reehorst in Ede. Uiteraard geldt voor relaties van Madison Gurkha een relatiekorting. Geef bij uw aanmelding via het inschrijfformulier de code BHS14-MG op en de 10% korting wordt direct verrekend. Wij vinden het leuk als u samen met uw collega’s deelneemt aan de Black Hat Sessions. U kunt dan gebruik maken van de extra geldende groepskorting van 10% bij 5 tot 10 deelnemers. Meldt u meer dan 10 deelnemers tegelijkertijd aan, dan profiteert u van 15% extra groepskorting. Groepsaanmeldingen kunt u per e-mail aan [email protected] versturen.

Zorg dat u erbij bent en meld u snel aan. Vul de code BHS14-MG in bij uw online inschrijving en de 10% relatiekorting wordt direct verrekend! Meer informatie over het congres en het inschrijfformulier vindt u op www.blackhatsessions.com.

10


het event

NT T

PROGRAMMA Keynote Marietje Schaake Marietje Schaake is Europarlementariër voor D66, in de ‘Alliance of Liberals and Democrats for Europe’ (ALDE). Marietje is onder andere lid van de parlementaire commissie voor Buitenlandse Zaken, waar zij zich richt op het EU-nabuurschapsbeleid, met een focus op Turkije en Iran, en mensenrechten, in het bijzonder de vrijheid van meningsuiting en digitaleen mediavrijheid. Keynote Wilma van Dijk Wilma van Dijk wordt met ingang van 1 juni 2014 benoemd tot directeur Cyber Security bij de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV). Binnen deze directie vallen de gecoördineerde beleidsinitiatieven op het gebied van cyber security en de activiteiten van het Nationaal Cyber Security Centrum (NCSC).

TREsPASS: een navigatiesysteem voor cyber attacks NT Wolter Pieters Wolter is wetenschappelijk coördinator van het Europese project TREsPASS aan de Universiteit Twente, en universitair docent op het gebied van cyber risk aan de TU Delft. Hij studeerde in Twente informatica en filosofie van de techniek, en promoveerde bij Prof. Bart Jacobs in Nijmegen op de risico’s van stemcomputers en stemmen via Internet.

The new cyberweapons (presentatie in ENG) T Sandro Etalle Sandro Etalle is CEO of SecurityMatters, full professor and the head of the security group at the TU Eindhoven, and full professor at the University of Twente. His interests include intrusion detection, security of industrial control systems, trust management, access control and policy compliance.

e volgende crypto-oorlog - hoe geheime diensten onze veiligheid D ondermijnen NT Ot van Daalen Ot van Daalen is oprichter van advocatenkantoor Digital Defence dat zich specialiseert in security, privacy en surveillance. Daarnaast is hij onderzoeker bij het Instituut voor Informatierecht van de Universiteit van Amsterdam. In 2009 heeft hij digitale burgerrechtenbeweging Bits of Freedom heropgericht.

niet-technisch technisch

IRMA: Attribute-based Credentials (ABC) in de praktijk T Wouter Lueks Wouter Lueks is promovendus aan de Radboud Universiteit Nijmegen en lid van het PI.lab. Onder leiding van dr. Jaap-Henk Hoepman en prof. Bart Jacobs doet hij onderzoek naar privacy enhancing technologies. Voorafgaand aan zijn promotieonderzoek studeerde hij wiskunde en informatica aan de Rijksuniversiteit Groningen.

Maar ik heb toch niets te verbergen? NT Arthur Donkers Arthur Donkers is directeur en principal security consultant bij ITSX, dochterbedrijf van Madison Gurkha dat zich richt op de ‘zachte’ kant van informatiebeveiliging. Arthur is een all round specialist die zowel op technisch, als procesmatig en organisatorisch vlak alle aspecten van informatiebeveiliging beheerst.

IPv6: de nieuwe aanvalsvector voor inlichtingendiensten en cybercriminelen? T Sander Degen Sander is sinds 2001 werkzaam bij TNO op het gebied van informatiebeveiliging. Hij probeert organisaties weerbaar(der) te maken tegen IT-gerelateerde dreigingen, gericht op onder andere techniek, processen, beleid en beveiligingsbewustzijn. Eén van zijn persoonlijke interesses is de ontwikkeling van ‘vrijheid’ op het internet.

China en cyberveiligheid NT Frans-Paul van der Putten Frans-Paul van der Putten is senior onderzoeker bij het Nederlands Instituut voor Internationale Betrekkingen Clingendael. Hij houdt zich bezig met diverse veiligheidsthema’s, met name in relatie tot de opkomst van China als grote mogendheid, en de gevolgen daarvan voor internationale verhoudingen en voor de internationale positie van Nederland en Europa.

Spies and secure boot (presentatie in NL) T Job de Haas At Riscure, Job is the senior specialist on charge of security testing of embedded devices for high-security environments. He has experience evaluating the security of a wide range of embedded platforms, such as IPTV decoders, satellite receivers, mobile phones, smart meters and a variety of modems.

De workshop “Hacken met Teensy” die tijdens de Black Hat Sessions wordt georganiseerd zit helaas vol. Wilt u de workshop op een ander moment volgen? Klik dan bij uw aanmelding op “Selecteer” in het inschrijfformulier, dan houden wij u op de hoogte. sponsor s

ke nn i s pa rtner s Platform voor IT-professionals


11

In deze extra rubriek vertelt Remco Huisman, commercieel directeur bij Madison Gurkha, graag meer over het nut en de mogelijkheden van Red Teaming.

H E T IN Z IC H T E XT RA

ed eaming :: is uw organisatie bestand tegen gerichte aanvallen? Criminelen, industriële spionnen of buitenlandse mogendheden hebben doorgaans een heel specifiek doel dat ze langs de digitale weg willen bereiken. Ze houden zich niet aan een vast testplan en een vastgelegde scope. Ze kondigen hun acties ook niet van tevoren aan. In het rapport “Internet Security Threat Report 2014”1 dat in april is verschenen, maakt Symantec melding van een stijging van 91% van de zogenaamde ‘spear phishing’ campagnes in 2013, naar 779 in totaal. Spear phishing attacks zijn gerichte digitale aanvallen die worden uitgevoerd door bijvoorbeeld inlichtingendiensten van buitenlandse mogendheden, criminele organisaties of concurrenten op zoek naar voor hen interessante informatie. De inschatting van Symantec dat er een kans is van circa 30% dat bedrijven het slachtoffer worden van een dergelijke aanval, spreekt nog meer tot verbeelding. Deze kansen zijn dusdanig groot dat elke organisatie zich zorgen zou moeten maken over deze aanvallen en zich er beter tegen zou moeten beschermen. Maar hoe doe je dat? Veel organisaties waar Madison Gurkha zaken mee doet zijn serieus bezig met informatiebeveiliging en laten daarom ook regelmatig beveiligingstesten uitvoeren op IT-infrastructuren en applicaties. Deze onderzoeken gaan meestal uit van een bepaalde scope. Het gaat bijvoorbeeld om een onderzoek van een website, een kwetsbaarhedenscan vanaf het internet, een penetratietest vanaf het interne netwerk, een social-engineeringaanval of een test van het WiFi- netwerk. Het zijn stuk voor stuk nuttige onderzoeken om IT-beveiligingsrisico’s in kaart te brengen, maar kennen toch beperkingen. Red Teaming volgt feitelijk een zelfde werkwijze als criminelen dat doen en geeft daarmee een beeld van de hele IT-beveiligingsketen. Red Teaming is een techniek waarmee je ‘problemen’ bekijkt vanuit een tegengesteld gezichtspunt. Dat gezichtspunt kan een aanvaller

12


zijn, een tegenstander of bijvoorbeeld een concurrent. Het hangt er maar vanaf op welk ‘probleem’ of ‘situatie’ je Red Teaming toepast. Vanuit een militair oogpunt onderzoekt leger A bijvoorbeeld hoe leger B zou kunnen reageren op de aanval die leger A wellicht van plan is. Een onderneming kan met behulp van Red Teaming onderzoeken hoe concurrentie zal reageren op de introductie van een nieuw product of dienst. Een bewakingsbedrijf kan via Red Teaming zwakheden zoeken in de manier waarop ze haar geldtransporten heeft georganiseerd. In het geval van Red Teaming op het gebied van informatiebeveiliging verplaatst Madison Gurkha zich in de gedachtenwereld van een of meer tegenstanders van een organisatie en bedenkt manieren om met behulp van hacking en social-engineering-technieken deze doelen te bereiken. Een Red Teaming onderzoek geeft u een integraal beeld van de mate van bescherming van datgene dat van kritiek belang is voor een organisatie. Daaruit zijn zeer waardevolle lessen te trekken. Lees ook het artikel in de rubriek ‘De Hack’ elders in deze Update waarin we u vertellen hoe een specifieke aanval tijdens een Red Teaming onderzoek in zijn werk gaat. Voor een succesvolle uitvoering van een Red Teaming onderzoek zijn onder andere de volgende aspecten van belang. 1. h ttp://www.symantec.com/content/en/us/enterprise/other_resources/bistr_main_report_v19_21291018.en-us.pdf

HET INZICHT EX T RA

4

Do

Weet wie je tegenstander is/tegenstanders zijn Verschillende tegenstanders zullen waarschijnlijk verschillende manieren gebruiken om een bepaald doel te bereiken. Soms zullen die doelen hetzelfde zijn en soms ook heel verschillend. Een actiegroep zal het gemunt hebben op het - op wat voor manier dan ook - ontregelen van de organisatie en het creëren van publiciteit, terwijl de industriële spion op zoek is naar een specifieke blauwdruk (en toekomstige plannen).

4 4

Weet wat de kroonjuwelen zijn Wat zijn nu precies de kroonjuwelen van de organisatie waar tegenstanders het op voorzien hebben? Is het één kroonjuweel of zijn het er meer? Gaat het om intellectueel eigendom, de klanten/patiëntendatabase, toegang tot SCADA/EMS-systemen, de webshop? Kies één tegenstander en één kroonjuweel voor een Red Teaming opdracht Om binnen een bepaald budget en bepaalde tijd een goede Red Teaming opdracht uit te voeren is een zekere focus onontbeerlijk. Soms is het mogelijk om met een onderzoek meerdere kroonjuwelen te bemachtigen, maar het verdient aanbeveling om één bepaald doel te kiezen en de aanval daarop tot in de puntjes uit te werken en uit te voeren.

4 4

Zorg voor draagvlak binnen het hoger management Omdat een Red Team zich richt op de kroonjuwelen van een organisatie, er aan een onderzoek altijd risico’s kleven en een groot deel van de organisatie te maken kan krijgen met de aanval, is draagvlak binnen het hoger management / directie een een must. Het is verstandig om verder zo min mogelijk mensen in te lichten. Leer van de uitkomsten en doe er wat mee Dat klinkt triviaal, maar er zijn uit Red Teaming opdrachten doorgaans meerdere lessen te trekken, op meer dan één niveau binnen een organisatie en zowel op menselijk, organisatorisch als technologisch vlak. Processen en procedures verdienen aandacht, het bewustzijn van (bepaalde) medewerkers, detectiemethoden voor bepaalde aanvallen en specifieke bescherming van de kroonjuwelen. Een Red Teaming opdracht biedt vaak ook een prima gelegenheid om de zogenaamde ‘Forensic Readiness’ te testen: Wat is er van de aanval in logs van systemen terug te vinden? Zijn er wel logs en hoe betrouwbaar zijn die? Is er een incident response plan? Als de resultaten van een Red Teaming opdracht zijn gepresenteerd en gerapporteerd, dan zit het werk van het Red Team erop, maar dan begint het werk van de organisatie pas! Dat is over het algemeen veel meer werk dan het Red Teaming onderzoek.

8

Don't

Je kunt jezelf niet Red Teamen Zoals je jezelf niet onafhankelijk kunt testen, kun je jezelf ook zeker niet Red Teamen. Voor een goed Red Teaming onderzoek is een onafhankelijke frisse blik nodig van een team dat is geoefend in het denken buiten de kaders en beschikt over de juiste hacking en social engineering technieken. Een intern Red Team kan verder als nadeel hebben dat er zelfcensuur kan worden toegepast: “Zal ik deze vervelende uitkomst wel brengen, of kan ik het maar beter wat verzachten”.

8

Pay peanuts, get monkeys Zorg voor voldoende budget en dus tijd. Dat hoeft niet zoveel budget/tijd te zijn als industriële spionnen of buitenlandse mogendheden ter beschikking hebben, maar wel voldoende om een echt realistische aanval door professionals met ervaring op te zetten.

8

Stel zo min mogelijk beperkende voorwaarden aan het onderzoek Je tegenstanders houden zich ook niet aan bepaalde voorwaarden, dus geef het Red Team zoveel mogelijk vrijheid. Madison Gurkha legt zichzelf overigens wel een aantal beperkingen op. Zo treden wij niet binnen in de persoonlijke levenssfeer van iemand, door bijvoorbeeld een privé-PC of emailaccount van een medewerker te hacken. Uiteraard zullen wij ook geen chantage toepassen of geweld plegen en blijven wij binnen de kaders van de Nederlandse wetgeving. Wel zullen wij gebruik maken van de vrijheid die ons op basis van een vrijwaring wordt geboden.

Door bovenstaande aspecten in ogenschouw te nemen, wordt de kans op een succesvol Red Teaming onderzoek verhoogd. Deze lijst is overigens zeker niet uitputtend.


13

In de ITSX-rubriek vertelt Marcus Bakker, IT security consultant bij ITSX, dit keer over de Heartbleed bug en doet directeur Ralph Moonen verslag van het Founders Kite Club event.

ITSX

De Heartbleed bug Afgelopen 7 april werd de Heartbleed bug publiekelijk bekend. Heartbleed is een zeer ernstige zwakheid in OpenSSL die het mogelijk maakt om vertrouwelijke informatie van een server of client uit te lezen. SSL is een protocol dat wij allen dagelijks gebruiken voor het veilig versturen van informatie. Voor gebruikers is het vaak zichtbaar als het bekende slotje in de browser.

Ontwikkelaars van softwareproducten maken vaak gebruik van OpenSSL voor het implementeren van het SSL-protocol in hun producten. Aan het gebruik van OpenSSL zijn geen kosten verbonden en het wordt dan ook in veel software gebruikt. Een grote meerderheid (naar schatting 60%) van de webservers op het Internet maakt gebruik van OpenSSL. Andere voorbeelden van software die gebruik maakt van OpenSSL zijn de VPN oplossing OpenVPN, het Android besturingssysteem en de veel gebruikte mail server Sendmail. Software van bijvoorbeeld Microsoft maakt geen gebruik van OpenSSL en is dan ook niet kwetsbaar voor Heartbleed.

Het is noodzakelijk de huidige SSLcertificaten te laten intrekken en nieuwe certificaten aan te vragen

14


Heartbleed is geen fout in het SSL-protocol, maar in de implementatie van de ‘heartbeat’ functionaliteit. De bug is te vinden in versie 1.0.1 en hoger van OpenSSL, een versie die reeds twee jaar beschikbaar is. Er wordt aangenomen dat de hacker community gedurende deze twee jaar geen weet had van deze bug, tot de bekendmaking hiervan op 7 april. Onbevestigde berichten uit de wereld van de inlichtingendiensten melden echter dat onder andere de Amerikaanse NSA hier al lang van wist, en het lek ook al lang gebruikte. Heartbleed stelt een kwaadwillende in staat het geheugen (maximaal 64 KiloByte) uit te lezen. Een simpele en leuke uitleg van Heartbleed is beschreven in de volgende XKCD strip: www.xkcd.com/1354/. De bug is zo gemakkelijk te misbruiken, dat reeds na enkele minuten na bekendwording kwaadwillenden massaal systemen op het internet gingen aanvallen.

Kwaadaardige server Naast servers zijn ook clients kwetsbaar. Een kwaadaardige server kan ‘heartbeats’ naar clients versturen om blokken geheugen van clientsoftware (zoals bijvoorbeeld een browser of filesharing programma) uit te lezen. Hierbij wordt dezelfde kwetsbaarheid misbruikt. Dit wordt ook wel een ‘reverse Heartbleed’ genoemd. De uitgelezen informatie kan allerlei vertrouwelijke gegevens bevatten. Denk hierbij aan gebruikersnamen, wachtwoorden, e-mails en zelfs de privésleutel van een SSL-certificaat kan hierin voorkomen. Wachtwoorden kunnen hierdoor bekend raken, en aanvallers kunnen HTTPS-verkeer ontsleutelen of een servercertificaat vervalsen. Kwetsbare versies vinden Ons advies is dan ook direct uit te zoeken welke servers kwetsbaar zijn (omdat ze OpenSSL v1.0.1 of hoger gebruiken) en deze te voorzien van de nodige beveiligingsupdates. Denk hierbij dus niet alleen aan webservers, maar ook aan mailservers die met SSL zijn beveiligd, Secure File Transfer servers en appliances. Het zal voor de meeste organisaties een grote uitdaging zijn om alle kwetsbare versies van OpenSSL te vinden, en soms is het niet eenvoudig om deze te updaten. Maar naast het updaten van de software speelt natuurlijk ook het feit dat SSL-sleutels van kwetsbare servers kunnen zijn gecompromitteerd. Als de privésleutels niet zijn opgeslagen in een Hardware Security Module (HSM) - een HSM beveiligt de sleutels zo-

IT SX

Founders Kite Club event

Netwerken op het strand danig dat deze niet door Heartbleed kunnen worden getroffen - is het noodzakelijk de huidige SSL-certificaten te laten intrekken en nieuwe certificaten aan te vragen. Bij de meeste certificaatautoriteiten (CA’s) worden hiervoor geen kosten in rekening gebracht. Let daarbij op dat een nieuw sleutelpaar (publieke- en privésleutel) dient te worden gegenereerd. Lekken van informatie Daarnaast is het van belang om een inschatting te maken welke vertrouwelijke informatie, tussen de bekendmaking van Heartbleed en het uitvoeren van de beveiligingsupdates, heeft kunnen uitlekken. Kunnen er bijvoorbeeld wachtwoorden en gebruikersnamen zijn uitgelekt? Adviseer dan alle gebruikers zelf de wachtwoorden te laten wijzigen. Is er een hoog risico bij het uitlekken van deze wachtwoorden, dan kunnen extra maatregelen worden genomen, zoals het preventief wijzigen van alle wachtwoorden zonder tussenkomst van de gebruiker.

De FoundersKiteClub (zie ook: founderskiteclub.com) is een club van kitesurfende ondernemers, variërend van oprichters van investeringsfondsen tot kleinere ondernemers zoals ikzelf. Een aantal weken geleden reisde ik af naar Tarifa in Spanje om deel te nemen aan het FKC business networking event. Want wat op de golfbaan kan, moet natuurlijk ook op het strand, in de wind en de golven kunnen! Op het event waren naast de organisatie en een aantal professionele kitesurfers, ongeveer veertig ondernemers aanwezig. Veel van hen zijn actief in de tech-, internet- en mediasector. Onder andere de oprichters van BWIN en Xing.com waren van de partij.

Naast de clinics en shows door de pro-kiters waaronder wereldkampioen Ruben Lenten en de Engelse kampioen Lewis Crathern, waren er ook voldoende gelegenheden en activiteiten gepland om te kunnen netwerken en je bedrijf te presenteren. Tijdens een van de deze activiteiten heb ik een demonstratie van WiFi en mobiele beveiliging gegeven die erg goed werd ontvangen. Er zaten diverse bedrijven aan tafel die mobiele apps ontwikkelen dus dat sloot erg goed aan. Met een hoop kite-skills, interessante contacten en een nieuwe klantrelatie rijker, kijk ik terug op een zeer nuttig ’zakenuitje’ dat voor herhaling vatbaar is! Ralph Moonen, directeur ITSX

Op het event waren naast de organisatie en een aantal professionele kitesurfers, ongeveer veertig ondernemers aanwezig.

Kortom, veel organisaties zullen voorlopig nog handen vol werk hebben aan de nasleep van deze pijnlijke kwetsbaarheid. Het is te verwachten dat kwetsbare servers en applicaties nog jarenlang zullen bestaan omdat veel organisaties niet zijn voorbereid op dergelijke problemen. Welke certificaten worden waar gebruikt? Welke versies van welke software zijn op welke server geïnstalleerd? Zelfs in organisaties met een hoog volwassenheidsniveau zijn deze vragen vaak niet eenvoudig te beantwoorden. Er waren ook voldoende gelegenheden en activiteiten gepland om te kunnen netwerken en je bedrijf te presenteren.

i

T

S

X Madison Gurkha mei 2014

15

In de rubriek “Het Inzicht” stellen wij bepaalde (technische) beveiligingsproblemen aan de orde. Deze keer geeft Matthijs Koot meer inzicht in de wet op de inlichtingen- en veiligheidsdiensten.

het Inzicht

De verva inlichti De Wet op de inlichtingen- en veiligheidsdiensten van 2002 (Wiv2002) regelt de bijzondere bevoegdheden van de AIVD en MIVD. Huidige bevoegdheden zijn onder meer het binnendringen in geautomatiseerd werk (‘hacken’), gerichte interceptie (‘aftappen’) en ongerichte interceptie (‘sleepnettaps’). Die laatste bevoegdheid is alleen toegestaan op draadloze communicatie: in praktijk gaat het daarbij om satellietcommunicatie, geïntercepteerd in Burum, en hoogfrequent (militair) radioverkeer, geïntercepteerd in Eibergen.

16


De Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten (CTIVD) houdt ex post toezicht op de rechtmatigheid van de inzet van deze bevoegdheden. Alleen indien een inzet zowel noodzakelijk, proportioneel als subsidiair is, kwalificeert de CTIVD de inzet als “rechtmatig”. Is de inzet noodzakelijk in een democratische samenleving? Staat de inbreuk die wordt gemaakt op grondrechten (privacy) in verhouding tot het belang van de verwachte opbrengst? Is er een lichter middel waarmee hetzelfde doel had kunnen worden bereikt? Deze afwegingen worden, als het goed is, natuurlijk al gemaakt door de AIVD en de MIVD voorafgaand aan de inzet, en verwoord in het verzoek dat ze aan hun Minister sturen voor toestemming om de bevoegdheid uit te oefenen. In december 2013 citeerde Nu.nl scheidend CTIVD-voorzitter Bert van Delden: “De toezichthouder deed de afgelopen tijd onderzoek naar de activiteiten van de Nederlandse diensten. ‘NSA-achtige praktijken’ kwam Van Delden daarbij niet tegen. (...) De werkwijze van de Amerikanen is volgens hem niet vergelijkbaar met die van de Nederlanders. Dat verschil is niet alleen een kwestie van cultuur, maar komt volgens hem ook door het ‘bijna onbeperkte budget’ van de Amerikaanse afluisterdienst NSA.”

het Inzicht

gende grens tussen ngen en opsporing Budgetgrootte Geen ‘NSA-achtige praktijken’ door de Nederlandse diensten, dus? Hierover het volgende. Ten eerste is de notie van ‘budgetgrootte’ relatief. Gegevensverwerking wordt steeds goedkoper, en dus kun je met gelijkblijvend budget steeds meer doen. Het plaatje hieronder uit het AIVDjaarverslag over 2012 geeft de ontwikkeling van het budget weer: van 50 miljoen euro in 2000 tot 200 miljoen euro in 2012; en thans wat gecorrigeerd door bezuinigingen (als die gehandhaafd blijven). ontwikkeling van de taken en het budget van de AIVD sinds 2000 250 Hack Diginotar

200

Taakstellingen Rutte I en II ICT-intensiveringen Basisvoorziening informatiebeveiliging Rijk (NBV)

150

Aanslagen Londen

Versterking informatiepositie AIVD (pijler V - Balkenende IV)

Aanslag Van Gogh, Aanslagen Madrid Aanslag Fortuyn

100

Bestrijding radicalisering en terrorisme

Aanslagen VS

Bestuurlijke evaluatie AIVD (commissie-Havermans) Stelsel bewaken en beveiligen (commissie-Van den Haak)

50

Wiv 2002: BVD wordt AIVD en overheveling buitenlandtaak en NBV-taken van BZ naar AIVD

0

00

20

01

20

02

20

03

20

04

20

05

20

06

20

07

20

08

20

09

20

10

20

11

20

12

20

13

20

14

20

15

20

16

20

17

20

18

20

Van Delden werd in hetzelfde artikel nogmaals geciteerd: “Je moet niet bezuinigingen op onze veiligheidsdiensten, maar je moet ze ook geen honderden miljoenen geven, want dan gaan ze zulke dingen doen”, waarschuwt de vertrekkende CTIVD-voorzitter. Budgetgrootte als bepalende factor voor de interne cultuur, dus. | |

Ten tweede is het begrip ‘NSA-achtige praktijken’ natuurlijk vaag. De AIVD zal behoeften en ambities hebben die vergelijkbaar zijn met die van de NSA: al was het maar om quid pro quo te kunnen blijven spelen met buitenlandse diensten. Zo blijkt uit het boek The Snowden Files nogmaals dat GCHQ zich zorgen maakt over de eigen informatiepositie uit angst voor verlies van het Britse lidmaatschap van de Five Eyes community: de besloten kring waarin Australië, Canada, Nieuw Zeeland, de VS en het VK uitgebreid toegang hebben tot elkaars informatie. Ze blijven daarom zoeken naar verbetering en uitbreiding van methoden voor digitale spionage onder programma’s als Mastering The Internet en Global Telecoms Exploitation. Zoals Constant Hijzen opmerkt over wat via Snowden is onthuld: “Dit is geen schandaal, maar een praktijk die het gevolg is van de recente technologisering en groei van het inlichtingen- en veiligheidsapparaat.” Ongerichte Interceptie Bekend is dat GCHQ de AIVD in 2008 adviseerde over de juridische aspecten van bulkinterceptie: “The Dutch have some legislative issues that they need to work through before their legal environment would allow them to operate in the way that GCHQ does. We are providing legal advice on how we have tackled some of these issues to Dutch lawyers.” Uit deze woorden blijkt strikt genomen

niet dat de AIVD zou willen werken “in the way that GCHQ does”. Dat blijkt echter wel uit ARGO II, de supercomputer waarover de MIVD+AIVD nu beschikken voor de verwerking van grote hoeveelheden data, naar verluidt geleverd door het Israëlische NICE Systems. Ook wordt in recente jaarverslagen van de AIVD (2010, 2011, 2012) meer gesproken over “grootschalige data-analyse”. Ook heeft de cie-Dessens, die vorig jaar de Wiv2002 heeft geëvalueerd, aanbevolen om de bevoegdheid tot ongerichte interceptie uit te breiden tot kabelnetwerken. De cie adviseert dat telecomaanbieders en internetknooppunten (AMS-IX?) op last van de minister verplicht moeten kunnen worden de diensten toegang te verlenen tot hun netwerken. De vraag die zich dan opdringt: wat weten we over de rechtmatigheid van de inzet in het afgelopen decennium van de huidige bevoegdheid tot ongerichte interceptie? Het antwoord is zorgwekkend: vanaf de nulmeting van de CTIVD in 2008 (rapport 19) heeft de CTIVD zich onthouden van een rechtmatigheidsoordeel, omdat zowel de AIVD als de MIVD de inzet van die bevoegdheid niet of nauwelijks motiveren. Dit overigens in tegenstelling tot de inzet van gerichte interceptie: vanaf de nulmeting in 2008 blijkt elk jaar dat de AIVD bij de inzet van die bevoegdheid (vrijwel) altijd “zorgvuldig” en “doordacht” te werk gaat.


17

het Inzicht

Nietszeggende opmerkingen Al vijf jaar (!) slagen de diensten er niet in de motivering voor ongerichte interceptie op orde te krijgen. In reactie op (onder meer) Kamervragen komt onze regering vooralsnog niet verder dan de nietszeggende opmerking “zijn en worden maatregelen getroffen” (Plasterk, 16 dec 2013). Veronderstellend dat de diensten te goeder trouw handelen, dringt zich zo langzamerhand de vraag op of het misschien eenvoudigweg niet mogelijk is om de manier waarop deze bevoegdheid tot nu toe is ingezet overtuigend te motiveren op een manier waaruit overtuigend blijkt dat de inzet past binnen een democratie, en niet in strijd is met, zeg, het EVRM. Hier is parlementaire waakzaamheid geboden! In het OPTIC NERVE programma heeft GCHQ in zes maanden tijd webcambeelden verzameld van wereldwijd 1.8 miljoen gebruikers van Yahoo webcam chat zonder dat die gebruikers ergens van werden verdacht. GCHQ wil er nieuwe targets mee

Het gebruik van generieke identiteiten als sleepnet zal in elk geval één van de onderdelen van de nieuwe Wiv zijn die op gespannen voet staat met democratische beginselen

18


ontdekken, en experimenteren met gezichtsherkenning om bestaande targets te vinden in de gegevensstromen. Gaan de Nederlandse diensten ook dit soort dingen doen? Is dat noodzakelijk? Is het proportioneel? Is er een minder inbreukmakend alternatief om het (overigens van GCHQ niet bekende) doel te bereiken? Gebrek aan informatie Het ontbreekt aan informatie waarmee de buitenstaander dat kan bepalen. Dat bemoeilijkt een eerlijk debat --- de andere kant van het verhaal, die van de diensten, mist. Het ontbreken van informatie houdt dystopische straw-man-argumenten overeind: redeneringen van het type “ik wil niet in een wereld leven waarin X”, waarbij X gewoon simpelweg niet aan de orde is, maar dat niet kenbaar is voor wie het argument maakt. Het zou goed kunnen zijn dat ongerichte kabelgebonden interceptie “onder de streep” volstrekt redelijk en wenselijk is, gegeven de taakstellingen van de diensten en de actuele situatie in de wereld: dat uitbreiding van die bevoegdheid aantoonbaar bijdraagt aan de veiligheid van onze strijdkrachten in het buitenland, aan het voorkomen van terroristische aanslagen in het binnenland, en nimmer wordt gebruikt op een manier die in strijd is met democratische beginselen. Van de MIVD is echter bekend dat ze “generieke identiteiten” gebruikte om binnen ongericht geïntercepteerde niet-kabelgebonden data nieuwe targets te ontdekken:

het verslag Ag enda In de Madison Gurkha Update presenteren wij een lijst met interessante bijeenkomsten die de komende tijd zullen plaatsvinden.

15 mei 2014

NLUUG Voorjaarsconferentie een praktijk die de CTIVD niet rechtmatig achtte, en vervolgens de facto adviseerde te legaliseren. [De exacte bewoording van de CTIVD luidde (.pdf): “De Commissie geeft in overweging te bezien of het, met inachtneming van de privacybescherming, noodzakelijk is dat aan de MIVD (en de AIVD) ruimere bevoegdheden worden toegekend die beter aansluiten op deze (gewenste) praktijk”).] Hoe sterk is onze democratie op dat punt? Het gebruik van generieke identiteiten als sleepnet zal in elk geval één van de onderdelen van de nieuwe Wiv zijn die op gespannen voet staat met democratische beginselen. Het hangt natuurlijk allemaal samen met wat de samenleving van de diensten verwacht: zie ook de betogen van Constant Hijzen (@ConstantHijzen) in Buitenhof en allerlei andere media. Targets en non-targets Voor het gericht monitoren van jihadistische fora hebben onze diensten geen bevoegdheid tot ongerichte interceptie nodig, daartoe volstaat de hackbevoegdheid (Artikel 24 WIV2002) in combinatie met andere bestaande bevoegdheden. Misschien zou de hackbevoegdheid een nieuw juridisch jasje kunnen krijgen dat beter rekening houdt met de aard van systemen en infrastructuur die zowel door (enkele) targets als (heel veel) non-targets wordt gebruik. En waarin nader wordt geregeld wat onze diensten mogen doen met gehackte systemen. Of de diensten Com-

puter Network Exploitation (CNE) mogen bedrijven in de vorm van het achterlaten van malware op computernetwerken, zoals de NSA al op > 50.000 netwerken heeft gedaan en zoals bij Belgacom is aangetroffen. Of de diensten ongerichte Man-in-theMiddle-aanvallen mogen uitvoeren. Iets dat juridisch mag (c.q. juridisch kan worden rechtgepraat met taalspelletjes) is niet automatisch moreel goed. De AIVD moet vooral onderscheid maken tussen targets en non-targets, ook al in de fase van verzameling: het principe van discriminatie in de Just Intelligence Principles van Ross Bellaby. Ook professor Bart Jacobs, lid van de Cyber Security Raad, roept daartoe op in zijn essay “Gerichtheid moet in het DNA van inlichtingendiensten zitten” (maart 2014). Hoe zit het, in het licht van de opkomst van intelligencegestuurd politiewerk, eigenlijk met de vervagende grens tussen inlichtingen en opsporing, de scheiding die bewust na WOII is ingevoerd en in Wiv2002 is vastgelegd (Art. 9)? Welke juridisch nét toegestane gegevensverzamelingen, -koppelingen en -verrijkingen liggen in het verschiet, indachtig het (destijds weliswaar ingetrokken) post-Madrid wetsvoorstel om de diensten gegevens te kunnen laten vorderen bij private partijen? Vragen genoeg.

Postillion hotel, Bunnik www.nluug.nl De activiteiten van de NLUUG richten zich op uitwisseling van informatie, het behartigen van belangen en ondersteuning met betrekking tot open systemen, open standaarden, netwerken en gebruikersinterfaces. Naast tutorials, technische en productgerichte lezingen en exposities bieden deze conferenties ruimschoots de gelegenheid om in contact te komen met medegebruikers, leveranciers en onderzoekers. 17 mei 2014

Privacy Café TkkrLab, Performance Factory http://privacy-enschede.nl Bij het Privacy Café leer je je persoonlijke gegevens te beveiligen: email versleutelen (PGP/GNUPG), anoniem browsen (TOR) en chatten (OTR). Het Privacy Café is onderdeel van het Privacy Event Enschede waarmee organisator Dave Borghuis wil laten zien welke bedreigingen er nu zijn voor je eigen privacy maar ook wat je kunt doen om deze toch te behouden. 3 en 4 juni 2014

‘International NCSC One Conference’ World Forum, Den Haag https://www.ncsc.nl/conference In plenaire en parallelle tracks, zullen vooraanstaande deskundigen en inspirerende sprekers een verscheidenheid aan onderwerpen presenteren zoals malware en monitoring maar ook minder technische vakken, zoals organisatorische aspecten van veiligheid en privacy, aspecten over rechtshandhaving, de strategie en het beleid, en de publiek-private partnerschappen.

het colofon Redactie Daniël Dragicˇevic´ Laurens Houben Remco Huisman Matthijs Koot Maayke van Remmen Ward Wouts

Vormgeving & productie Hannie van den Bergh / Studio-HB Foto cover Digidaan

Contactgegevens Madison Gurkha B.V. Postbus 2216 5600 CE Eindhoven Nederland

T +31 40 2377990 F +31 40 2371699 E [email protected]

Bezoekadres Vestdijk 9 5611 CA Eindhoven Nederland

Redactie [email protected]

Voor een digitale versie van de Madison Gurkha Update kunt u terecht op www.madison-gurkha.com. Aan zowel de fysieke als de digitale uitgave kunnen geen rechten worden ontleend.


19

Safe?

Goede IT-beveiliging is niet zo eenvoudig als vaak wordt beweerd. Bovendien blijkt keer op keer dat deze beveiliging van strategisch belang is voor organisaties. Alle IT-beveiligingsrisico's moeten op een acceptabel niveau worden gebracht en gehouden. Professionele en gespecialiseerde hulp is hierbij onmisbaar. Kies voor kwaliteit. Kies voor de specialisten van Madison Gurkha.

Your Security is Our Business

tel: +31(0)40 237 79 90 - www.madison-gurkha.com - [email protected]

update i T S X DE COLUMN 2 Walter Belgers

Recommend Documents