Nieuw DigiD legt veiligheid bij de gebruiker

Het vernieuwde DigiD laat Nederlanders zelf hun gegevens wijzigen. Beveiliging is meer aan die gebruiker zelf. DigiD versie 4 is vorige maand al live gegaan, gelijk met problemen.

Het identiteitssysteem van de Nederlandse overheid is gisteren officieel gelanceerd door minister Liesbeth Spies van Binnenlandse Zaken en Koninkrijksrelaties. Zij heeft op de lanceringsbijeenkomst gesteld dat burgers niet goed de verantwoording nemen voor beveiliging, ook van DigiD. "Als je je verloofde de deur uitzet, is het niet ongebruikelijk om het slot te veranderen", tekent nieuwssite Nu.nl op uit haar mond.

Beveiligingsniveau naar keuze

De minister verklaart dat veel mensen niet beseffen dat DigiD ook een soort sleutel is. "Het moet me van het hart dat we af en toe ook wel eens een beroep op het gezond verstand van mensen mogen doen." Het vernieuwde identiteitssysteem van de Nederlandse overheid doet dat deels door gebruikers te laten kiezen uit een beveiligingsniveau voor hun aanmelding.
Hierbij zijn er drie keuzes: óf inloggen met gebruikersnaam en wachtwoord, óf met ook nog eens een sms-code, óf met een chippas. De sms-code is een gratis toegestuurd bericht, vergelijkbaar met de TAN-codes van de ING. De chippasoptie is nog niet beschikbaar, want dit is voor een nog in te voeren elektronische identiteitskaart. Daarnaast is op DigiD zelf te zien waar en wanneer zoal is ingelogd. Dit moet inlogs door onbevoegden dan aan het licht brengen.

'Niet veilig genoeg'

Ondanks de aangeprezen verbeteringen in DigiD acht beheerder Logius het systeem niet veilig genoeg voor bijvoorbeeld inloggen op webwinkels. Een nationale e-identiteit die ook elders bruikbaar is, is DigiD vooralsnog niet. "Daar is DigiD zelf gewoon niet veilig genoeg voor", zegt Logius-directeur Steven Luitjens tegen Binnenlands Bestuur.
Hij voelt wel wat voor het idee achter zo'n meer universele identiteit en inlog. "Partijen moeten elkaar niet gaan beconcurreren op authenticatieoplossingen", oordeelt Luijtjens die het voorbeeld noemt van de banken die hun pinpassen uiteindelijk wel compatibel hebben gemaakt voor elkaars systemen.

Storing door migratie

Het 'nieuwe' DigiD is al ruim een maand geleden in gebruik genomen. Daarbij is de dienst in een weekend gemigreerd, waarna het op maandagochtend onderuit is gegaan door een flinke storing. Het hele DigiD-systeem lag toen zeven uur plat door overbelasting van een database. Het ging niet om een nieuwe database en ook niet om een piekbelasting, maar simpelweg om het maandagochtend op gang gekomen normale DigiD-verkeer.

Bron: Webwereld

Defensie bereidt zich voor op digitale oorlog

 

BREDA - Het Nederlandse leger gaat in de toekomst zelf internetaanvallen uitvoeren om tegenstanders uit te schakelen. Ook wil Defensie hackers inzetten.

Dat zegt Minister Hans Hillen (Defensie) woensdag in Breda tijdens de opening van het Cybersymposium op de Nederlandse Defensie Academy. Later woensdag zal hij zijn Cyberstrategie naar de Tweede Kamer sturen.
Voor de minister is digitale veiligheid en oorlogsvoering van vitaal belang.
Opvallend in de strategie is het aanvallende karakter. Het ministerie van Oorlog werd ooit omgedoopt tot het ministerie van Defensie, maar voor de digitale ambities wordt actief oorlog voeren niet langer uitgesloten. De minister roept daarvoor het Cyber Defense Commando in het leven.

Uitschakelen

"Als zwaardmacht moet de krijgsmacht naar mijn overtuiging ook in het digitale domein offensief kunnen optreden. Het uitschakelen van een tegenstander blijft de bijzondere taak van de krijgsmacht. Ook in het digitale domein", stelt Hillen.
"Kennis van offensieve methoden en technieken is bovendien noodzakelijk voor het versterken van de digitale weerbaarheid."

Geheime dienst

Om goed oorlogsvoering te kunnen bedrijven, leunt Hillen op de kunde van de Militaire Inlichtingen en Veiligheidsdienst (MIVD). "Bij het ontwikkelen van de offensieve operationele capaciteiten van de krijgsmacht zal gebruik worden gemaakt van kennis en capaciteit van de MIVD", stelt hij.
"De Commandant der Strijdkrachten kan de offensieve middelen op grond van een mandaat van de regering in een militaire operatie inzetten."

Rol MIVD

De rol van de MIVD wordt hiervoor ook verder uitgebreid. "Het bezitten van een hoogwaardige inlichtingenpositie in het digitale domein is nodig voor zowel de bescherming van de eigen infrastructuur als het uitvoeren van operaties", betoogt Hillen.
"Zij (de MIVD, red.) moeten inzicht hebben in zowel de technische dreiging als in de intenties van aanvallers. Ook zullen zij over het vermogen moeten beschikken om pogingen tot digitale spionage te verstoren en te stoppen."

Hackers

Belangrijk is volgens de minister dat het leger innoveert. Zo komt er een cyberleerstoel op de Nederlandse Defensie Academie, wordt er geïnvesteerd in onderzoek en komt er een cyberlab en testomgeving om aanvallen te simuleren.
Defensie moet bovendien eerst aan kennis zien te komen en kijkt daarvoor ook naar hackers. "Onze krijgsmacht stelt zich nadrukkelijk open voor mensen die digitale kennis in huis hebben, maar waar de overheid nog te weinig gebruik van maakt: de 'white hat hacker'-community, ofwel de bonafide hackers", vertelt Hillen.
"Zij wijzen ons vaak op lekken. Daar moeten we niet boos om worden, maar gebruik van maken, want zo maken we elkaar sterker. Waarom zou een 'white hat hacker' zich niet willen inzetten om te helpen bij de verdediging van zijn eigen land? Zeker als hij daarvoor niet door de modder hoeft te kruipen, maar achter zijn computer kan blijven zitten."
Een white hat hacker wordt ook wel omschreven als ethische hacker. Zij hebben geen kwade bedoelingen, maar willen over het algemeen beveiliging verbeteren door lekken aan te tonen.

Afhankelijk

Dat zo fors wordt ingezet op de Defensie Cyber Strategie is volgens Hillen logisch. "Ook de commandovoering en de logistieke ondersteuning leunen zwaar op digitale systemen", meent hij.
"De krijgsmacht is bijna net zo afhankelijk van ICT als Bol.com. Zonder digitale middelen kan zowel onze samenleving als onze krijgsmacht nauwelijks meer functioneren. Zij zijn van levensbelang geworden."
De Defensie Cyber Strategie heeft verder ook aandacht voor betere verdediging en de opleiding van militairen, zodat zij bewuster met technologie omgaan.

Bron: Nu.nl

Facebook wijzigt zichtbaar e-mailadres alle leden

 

AMSTERDAM - Facebook heeft zonder toestemming het standaard e-mailadres van alle gebruikers aangepast naar de @facebook.com-variant.

Dat heeft het sociale netwerk maandagnacht (Nederlandse tijd) bevestigd.
Eind 2010 introduceerde Facebook een eigen e-mailadres voor alle gebruikers. Simpelweg de gebruikersnaam gevolgd door @facebook.com leverde voor alle honderden miljoenen gebruikers een nieuw adres op.
Cijfers zijn niet bekend, maar de e-maildienst is naar verluidt absoluut niet populair. Afgelopen nacht stelde Facebook zonder waarschuwing het @facebook.com-adres in als standaard.
Hierdoor is janjansen@facebook.com het enige direct zichtbare e-mailadres in onder meer de tijdlijn. Dit is door gebruikers wel aan te passen door bij contactgegevens op het eigen profiel op 'bewerken' te klikken.

Reactie

Volgens Facebook is dit geen verkapte poging meer aandacht te krijgen voor de eigen e-maildienst. Het sociale netwerk laat aan The Verge weten dat het gebruikers vrij staat te kiezen voor welke dienst dan ook.
Een woordvoerder stelt dat de handeling ook positief uitpakt voor privacy omdat de persoonlijke e-mail nu niet direct te zien is. De overige e-mailadressen zijn namelijk standaard op niet zichtbaar gezet.

Bron: Nu.nl

Aanvallers storten zich op kersvers IE-lek

Een ernstig beveiligingslek in Internet Explorer dat Microsoft vorige week patchte, wordt actief misbruikt om internetgebruikers met malware te infecteren. Het gaat om kwetsbaarheid CVE-2012-1875, die eerder bij gerichte aanvallen was ingezet. De code is inmiddels ook op de website van Amnesty International Hong Kong verschenen en besmet ongepatchte bezoekers met een Trojaans paard. 

Zowel aldus anti-virusbedrijf Symantec als de Britse virusbestrijder Sophosmelden dat de exploit in het wild gesignaleerd is. De websites van Amnesty International worden regelmatig gehackt en voorzien van kwaadaardige code. De nu gebruikte exploit zou Windows XP, Vista en Windows 7 ondersteunen en in verschillende talen, waaronder Engels, Russisch, Koreaans en Frans.

Bron: Security.nl

Researchers intercept Tatanga malware bypassing SMS based transaction authorization

Security researchers from Trusteer have intercepted a Tatanga malware variant capable of bypassing the SMS based transaction authentication protection of German banks. Here’s how it works:

The scam targets online banking customers of several German banks. When the victim logs on to the online banking application, Tatanga uses a MitB webinject that alleges the bank is performing a security check on their computer and ability to receive a Transaction Authorization Number (TAN) on their mobile device.In the background, Tatanga initiates a fraudulent money transfer to a mule account. It even checks the victim’s account balance, and will transfer funds from the account with the highest balance if there is more than one to choose from.

The victim is asked to enter the SMS-delivered TAN they receive from the bank into the fake web form, as a way to complete this security process. By entering the TAN in the injected HTML page the victim is in fact approving the fraudulent transaction originated by Tatanga against their account.

What’s particularly interesting about this Tatanga variant, is the fact that It doesn’t attempts to undermine the technology of SMS based transaction authentication, instead it attempts to undermine the process. Next to undermining the technology, the malware will also attempt to hide the fraudulent activity from the eyes of the infected victim, by modifying the account balance reports.
Go through related posts:

• Modern banker malware undermines two-factor authentication
• Citizens Financial sued for insufficient E-Banking security
• No security software, no E-banking fraud claims for you

According to Trusteer, QA (quality assurance) wasn’t applied in this sophisticated fraudulent attempt, since the message presented to the infected victim was full with grammar and spelling mistakes. As I’ve already discussed in previous posts, localization on demand, a.k.a cultural diversity on demand is available as a service within the cybercrime ecosystem, potentially allowing cybercriminals the option to have a well written and grammar and spelling mistakes-free message delivered do the prospective victims. It’s very surprising that they didn’t take advantage of such a service in this campaign.
Two-factor authentication has been under fire for years. Today’s modern crimeware variants, are fully capable of bypassing the multi-layered authentication process offered by financial institutions. What’s even worse is that in 2012, novice cybercriminals can easily take advantage of managed crimeware-as-a-service underground marker propositions, offering crimeware log files, or access to crimeware botnets.
Once you’re infected with crimeware, it’s game over. The solution? Try the concept of using a Live CD for E-banking activities, or USB sticks with write protect switch.

Bron: Zdnet

6,5 miljoen LinkedIn-wachtwoorden op straat

Er zwerft een bestand van 118 MB rond met de gehashte wachtwoorden van miljoenen LinkedIn-accounts. Security-experts waarschuwen iedereen met klem zijn of haar wachtwoord te wijzigen.

Een bestand met bijna 6,5 miljoen hashcodes is twee dagen geleden online gedumpt. Het gaat om wachtwoorden van LinkedIn-gebruikers. Webwereld heeft het zip-bestand kunnen achterhalen.
De wachtwoorden zijn versleuteld met het SHA1-algoritme, en de hashes zijn unsalted, dus relatief eenvoudig te kraken is, onder meer met online tools.

Usernames (nog) niet gelekt

De wachtwoorden zijn niet gekoppeld aan username, maar aangezien die in dezelfde database staan moet er vanuit worden gegaan dat ook die door hackers zijn bemachtigd, vertelt Ronald Prins, directeur van securitybedrijf Fox-IT, aan Webwereld. Ook de hashcode van het wachtwoord van Prins staat in het gelekte bestand, bevestigt hij.
Ook anderen melden op Twitter dat hun versleutelde wachtwoord is gelekt. De gelekte database zou al wel 7 a 8 maanden oud zijn. Maar aangezien de meeste gebruikers hun wachtwoord niet regelmatig (of helemaal nooit) wijzigen, is het lek zeer serieus.

Dringend advies: wijzig wachtwoord

De Noorse IT-site Dagens IT maakte eerder vandaag als eerste melding van het lek, dat is onderzocht door de security-expert Per Thorsheim.
Thorsheim en ook Prins van Fox-IT raden LinkedIn-gebruikers aan om hun wachtwoord te wijzigen. Prins voegt daar aan toe: "Als je dat wachtwoord ook voor andere sites gebruikt, moet je het dus ook op die andere sites wijzigen."
Update: LinkedIn zegt in een verklaring de zaak te onderzoeken.

Bron:  Webwereld

'Nederland onvoldoende voorbereid op IPv6'

AMSTELVEEN - Nederlandse bedrijven bereiden zich onvoldoende voor om de overstap te maken naar IPv6, een nieuw internetprotocol om het tekort aan internetadressen op te lossen.

Dat blijkt uit een dinsdag gepubliceerd onderzoek van advies- en accountantskantoor KPMG.
De nieuwe standaard genaamd IPv6 is de opvolger van het huidige IPv4 en moet het tekort aan beschikbare internetadressen in het huidige protocol oplossen.
 
Elk apparaat dat verbinding maakt met het internet krijgt zo'n ip-adres. IPv4-nummers zijn naar verwachting aan het eind van het jaar op. IPv6 is een veel langer nummer dat bijna oneindig is.

Concurrentie

Volgens de onderzoekers ontstaan de problemen voor bedrijven in ons land op het moment dat Europa overgaat op de nieuwe standaard, omdat het oude systeem niet kan communiceren met het nieuwe.
Daardoor kan de concurrentiepositie van bedrijven verslechteren ten opzichte van ondernemingen die al geruime tijd actief zijn met het nieuwe protocol. De oude standaard biedt mogelijk geen ondersteuning aan nieuwe technologieën.
Ook kan er een communicatieprobleem ontstaan met bedrijven in bijvoorbeeld Azië, waar systemen al op grote schaal op IPv6 draaien.
XS4ALL voorziet nieuwe klanten al automatisch van IPv6.

Bron: Nu.nl

'Invoering IPv6 kan FBI-onderzoeken belemmeren'

AMSTERDAM -  De opkomst van nieuwe ip-adressen in verband met de invoering van IPv6 zou problemen kunnen opleveren voor de FBI bij het onderzoeken van cybermisdaden.

Dat zegt een woordvoerder tegen website Cnet.
IPv6 is de opvolger van IPv4 dat nu gebruikt wordt. Het aantal IP-adressen binnen het huidige protocol is bijna op. IPv6 maakt gebruik van 128-bit webadressen waardoor er biljoenen nieuwe adressen beschikbaar komen.

Gegevens

Een woordvoerder van de FBI zegt dat er nieuwe tools moeten worden ontwikkeld nu IPv6 beschikbaar komt. De autoriteiten maken zich zorgen dat IPv6 de mogelijkheid om gegevens te verkrijgen zal belemmeren.
De FBI stuurt providers regelmatig verzoeken om informatie te delen en door IPv6 zullen de bedrijven langer nodig hebben om te reageren op de verzoeken. De providers moeten namelijk veel meer informatie opslaan van individuen en apparaten.

Lancering

De FBI zegt nog geen actie te ondernemen en de overgang naar IPv6 af te wachten omdat nu nog niet na te gaan is wat de impact zal zijn.
Op 6 juni vindt de internationale IPv6-lancering plaats. Dan zal een een aantal grote bedrijven zoals Facebook Google officieel ipv6 in gebruik nemen.

Bron: Nu.nl

FBI waarschuwt voor 'politievirus'

De FBI waarschuwt internetgebruikers voor een virus dat computers vergrendelt en beweert dat er kinderporno op is aangetroffen. Vervolgens moeten slachtoffers een boete van 100 dollar betalen om weer toegang tot hun computer te krijgen. Volgens de FBI gaat het om de Reveton ransomware, die via het Citadel malware-platform wordt verspreid. Citadel gebruikt drive-by downloads om internetgebruikers die hun software niet patchen automatisch te infecteren.

IP-adres
Eenmaal actief installeert Citadel de Reveton ransomware op de computer. Daarbij wordt naar het IP-adres van de gebruiker gekeken om te bepalen via welke betaaldiensten die het losgeld kan betalen. De FBI waarschuwt dat naast de ransomware, Citadel nog steeds op de computer actief is en zo creditcardgegevens en inloggegevens voor internetbankieren kan stelen.

"Als je dit soort meldingen ziet, volg dan niet de betaalinstructies op", aldus de FBI. Waarom de opsporingsdienst de waarschuwing voor Reveton nu afgeeft is onduidelijk. Een maand geleden waarschuwden beveiligingsbedrijven en Microsoft hier al voor.

Bron: Security.nl