10 gemeenten nog steeds DigiD-loos na megalek

De Rijksoverheid heeft 10 gemeenten nog altijd niet aangesloten op DigiD. Bijna 3 maanden na het afsluiten vanwege het Lektober-megalek staat het sein niet op groen.

"Er zijn nu 29 gemeenten die weer een werkende DigiD-koppeling hebben en 10 nog niet", meldt woordvoerder Michiel Groeneveld van DigiD-beheerder Logius. "Wij hebben contact met de gemeenten. Sommigen zijn nog bezig met het aanleveren van de gevraagde informatie, anderen willen nog wachten met aansluiten." De gemeenten zijn begin oktober afgesloten na de onthulling van het Lektober-megalek waardoor DigiD-sessies van burgers zijn te klonen.

Tussenstand

Groeneveld geeft de nieuwe tussenstand in reactie op vragen van Webwereld. Die zijn gesteld naar aanleiding van een schrijven van ex-minister Donner aan de Tweede Kamer. De bewindsvoerder meldt dat er schot zit in de heraansluiting van ontkoppelde gemeenten op DigiD. De ict-leverancier die het leeuwendeel van de afgesloten gemeenten bedient, heeft inmiddels de informatie aangeleverd die nodig is voor heraansluiting.

Dat bedrijf, Sim Groep, vertegenwoordigt 32 van de 39 DigiD-loze gemeenten. Donner schrijft dit in zijn antwoord op Kamervragen van de PVV over DigiD. "Een deel van de afgesloten gemeenten had moeite met het leveren van de benodigde informatie om aan te tonen dat hun websites veilig zijn. Veel gemeenten hebben hun ict uitbesteed, en zijn afhankelijk van hun ict-leverancier voor de noodzakelijke informatie", schrijft Donner.

Direct contact gelegd

De aanlevering van deze informatie betekent niet automatisch herstel van de DigiD-koppeling. Formeel is de communicatie betreffende DigiD namelijk een kwestie van contact tussen de Rijksoverheid, in de vorm van Logius, en de gemeenten zelf. Zij hebben dan elk weer contact met hun ict-leverancier die maatregelen moet nemen om de beveiliging te verbeteren.

Niet alleen dat ict-werk heeft tijd nodig, maar ook de formele communicatie door de keten heen. Sim Groep heeft de benodigde informatie wel direct aan Logius opgeleverd. Dat is gebeurd nadat die overheidsinstantie daarvoor direct contact met het bedrijf heeft opgenomen. Donner maakt daar ook melding van in zijn antwoorden: "Daarnaast hebben Logius en KING zelf contact gelegd met de ICT-leveranciers van de gemeenten om het proces te bespoedigen."

Wachten op gemeenten

Het opnieuw aansluiten op DigiD moet dan vlotter verlopen. "Hierdoor kunnen de gemeenten zelf volstaan met het afgeven van een verklaring en verwijzen naar de meer technische antwoorden van de leverancier. Dit maakt het proces aanzienlijk sneller en makkelijker voor de gemeenten."

Herstel van de DigiD-koppeling is vervolgens echter niet automatisch een feit. De betreffende gemeenten moeten zelf officieel een signaal daartoe geven, vertelt Logius-woordvoerder Michiel Groeneveld nu. "Een stuk of zes gemeenten kan in ieder geval aangesloten worden wanneer ze willen, omdat we de juiste info hebben ontvangen van de leverancier." Het wachten is hierbij op de officiële verklaring van de gemeenten dat ze klaar zijn om aangesloten te worden.

'Optimaliseren'

Overheidsinstanties Logius en KING, het ict-adviesorgaan voor gemeenten, voeren nu overleg hoe zij de ondersteuning van gemeenten kunnen optimaliseren, laat Donner weten. Dit om een "zo snel mogelijke heraansluiting van gemeenten in de toekomst te kunnen bevorderen." Begin november heeft Webwereld boven water weten te krijgen dat er toen 33 gemeenten nog DigiD-loos waren. Nu, bijna 3 maanden na de ontkoppeling, blijken er dus nog 10 gemeenten zonder DigiD te zitten.

Govcert-'feestje'

In zijn beantwoording van de Kamervragen over DigiD verdedigt Donner ook de kosten en opzet van het Govcert-symposium. Die jaarlijkse bijeenkomst van Govcert, het KLPD, OM, NFI, Logius, SIDN en KPN-CERT kost net geen kwart miljoen euro. Ondertussen worstelen gemeenten om weer aangesloten te worden op DigiD. Ook nu nog, eind december.

"240.000 euro is veel geld", geeft de net afgetreden minister eerst toe. Vervolgens legt Donner uit dat deze uitgave gerechtvaardigd is. "Dit geld is uitgegeven om civiel-militair en publiek-privaat kennis te delen op het terrein van cyber security en het belangrijke internationale CERT- en cyber security netwerk te onderhouden. Het belang van samenwerking en kennisdeling op deze gebieden is benadrukt in de Nationale Cyber Security Strategie."

'Waardevolle contacten'

Hij stelt dat "een vertrouwd (inter)nationaal publiek-privaat netwerk noodzakelijk is in de strijd tegen cybercrime, en andere digitale dreigingen die geen grenzen kennen." Donner roemt de vruchten van eerdere edities van het Govcert-symposium. De daar gelegde contacten "zijn tot op heden zeer waardevol gebleken, onder andere tijdens het Diginotar-incident en bij de bestrijding van (internationale) digitale dreigingen en verstoringen."

De beruchte DigiNotar-affaire is door deze kennisuitwisseling en contacten niettemin niet voorkomen. De Nederlandse certificaatverstrekker is pas na internationale tip en rumoer onderzocht, waarna de vergaande cyberinbraak pas echt aan het licht kwam. Overheidsinstanties als Govcert en Logius hebben daarbij aanvankelijk verkeerde signalen afgegeven, onder meer aan browsermaker Mozilla. Vervolgens is de hulp van cybersecurity-'hofleverancier' Fox-IT ingeroepen.

Bron: Webwereld

Spyware Carrier IQ onder Nederlandse loep

(zie ook bericht op 2 december 2011)

De OPTA onderzoekt de invloed die smartphonespyware Carrier IQ in Nederland heeft. De telco's is om opheldering gevraagd.

Minister Maxime Verhagen van Economische Zaken, Landbouw en Integratie (EL&I) schrijft aan de Tweede Kamer dat hij nog geen antwoord kan geven op Kamervragen over smartphonespyware Carrier IQ. " De reden van uitstel is dat voor de beantwoording gewacht wordt op resultaten van een onderzoek door de toezichthouder." De Kamervragen werden gesteld na een publicatie van Webwereld.

OPTA vraagt om uitleg

Telecomwaakhond OPTA bevestigt de door de minister genoemde toezichthouder te zijn. "We hebben de telecompartijen een brief gestuurd met een verzoek om meer uitleg", zegt Cynthia Heijne, zegsvrouw van de OPTA in een telefoongesprek. Wel vindt ze het woord "onderzoek" een beetje groot. Volgens Heijne heeft de OPTA simpelweg meer informatie gevraagd aan de operators, en gaat het niet om een officieel onderzoek.

Wanneer het onderzoek is afgerond kan Heijne nog niet zeggen. "Nog niet alle info is terug van de telco's dus we kunnnen nog geen deadline stellen." Of er een officieel onderzoek komt hangt helemaal af van de respons. "Misschien vinden we die wel heel erg en gaan we er wat mee doen, of misschien valt het allemaal wel mee", legt Heijne uit.

Netwerkanalsye

Carrier IQ kwam in opspraak toen bleek dat er meer dan 141 miljoen smartphones zonder medeweten van gebruikers zijn uitgerust met de software die soms zo is geprogrammeerd dat alle toetsaanslagen worden gelogd. Ook locatie van telefoons, sms-berichten een de sterkte van het signaal plus legio andere diagnostische informatie kan worden gemeten en doorgestuurd voor analyse.

De gegevens worden door telecomoperators onder andere gebruikt voor het analyseren en verbeteren van hun netwerken. Dat gebeurt voornamelijk in de Verenigde Staten. De Nederlandse grote drie: KPN, Vodafone en T-Mobile, ontkennnen allemaal gebruik te maken van de diensten van Carrier IQ.

Meerdere onderzoeken

OPTA's verzoek om uitleg volgt op onderzoeken van verschillende Europese privacywaakhonden. In de VS doen handelsautoriteit FTC en telecomwaakhond FCC volgens Wired eenzelfde informeel vooronderzoek naar het gebruik van de dienst.

Carrier IQ werd in eerste instantie aangetroffen op Android-smartphones. HTC en Samsung ontkennen dat de software is geïnstalleerd op Nederlandse telefoons. De software wordt ook gebruikt op iOS. Op Nederlandse iPhones draait Carrier IQ dus wel. Apple stelt tegen techblog All Things D recent te zijn gestopt met het gebruik van de software en gaat de code in een toekomstige update van de firmware verwijderen.

Onafhankelijke analyse

Inmiddels is de Electronic Frontier Foundation (EFF) een onafhankelijk onderzoek gestart naar het gebruik van Carrier IQ. Wie een geroote of gejailbreakte telefoon bezit waar software op staat wordt opgeroepen details aan de EFF te sturen.

Bron: Webwereld

Belasting-phishers hengelen naar DigiD-inlog

De Belastingdienst waarschuwt voor phishingmails aan toeslaggerechtigden, waarmee wordt gepoogd DigiD-inlogdata buit te maken. De FIOD doet onderzoek.

Fraudeurs misbruiken de recente publiciteit over de nieuwe toeslagensite van de fiscus om te hengelen naar Digid-logins. Er zijn verschillende e-mails in omloop waarin toeslaggerechtigden om hun DigiD-gegevens wordt gevraagd.

Lokken of dreigen

Soms bevat de mail een lokkertje, soms een dreigement. In de ene mail wordt beloofd dat met het afgeven van de data de toeslag binnen 24 uur gestort wordt. In de andere wordt echter gedreigd met de deurwaarder, vertelt de woordvoerder van de Belastingdienst.

De phishers hebben echter niet de moeite genomen om een nepsite op te tuigen, maar vragen simpelweg om de mail te beantwoorden. Meestal bevatten phishingmails een link naar een authentiek ogende site, waar vervolgens de inloggegevens worden geoogst.

Mijntoeslagen.nl niet van fiscus

Dat scenario wordt wel steeds aantrekkelijker, nu de Belastingdienst stapsgewijs migreert van invoer met software naar invoer online. Vorige week introduceerde de fiscus mijn.toeslagen.nl, dat de toeslagensoftware overbodig maakt. Op termijn zal ook de software voor de belastingaangifte worden uitgefaseerd ten faveure van een webdienst.

Security experts wijzen er echter op dat deze strategie phishers in de kaart kan spelen. Het is immers relatief eenvoudig om de code van een site kopiëren en een nepsite optuigen, om daar persoonsgegevens en DigiD-logins te kunnen afvangen.

Feit is dat phishers niet ver hoeven te zoeken voor een geschikt domein: mijntoeslagen.nl is een geparkeerd domein, in handen van een particulier. De zegsman van de Belastingdienst kon niet meteen aangeven of de fiscus rekening houdt met dergelijke scenario's.

Bonanza voor phishers

Dit jaar werden al diverse gevallen bekend van criminelen die duizenden euro's aan toeslagen hadden binnengeharkt. Kwaadwillenden bleken met andermans DigiD in te loggen bij de Belastingdienst. Daar hebben zij vervolgens het bankrekeningnummer voor uitkeringen of teruggave veranderd, zodat dat geld niet bij de eigenlijke begunstigde terechtkwam.

Eerder bleek dat het met andermans Burgerservicenummer (BSN) kinderspel was om een nieuw DigiD-account aan te maken.

Bron: Webwereld

Run op certificaten bracht KPN in problemen

Toen de DigiNotarcrisis uitbrak, kreeg KPN plots een stortvloed aan aanvragen voor nieuwe certificaten. Maar daar was het bedrijf niet meer op ingericht. Dus liepen zaken spaak.

Dat vertelt het bedrijf aan Webwereld in reactie op berichtgeving over het massaal intrekken van certificaten, vlak voor en na de ondergang van DigiNotar. De productielijn moest in een rap tempo flink worden opgeschaald, en dat leidde tot fouten. In de haast geproduceerde certficaten moesten daardoor weer snel worden ingetrokken.

Geen core business

Op 2 september werd voor iedereen duidelijk dat alle Diginotar certificaten zouden worden ingetrokken. Vanaf de volgende ochtend moest KPN zich volledig richten op het uitgeven van losse certificaten voor bijvoorbeeld webservers.

Ooit had het bedrijf deze dienstverlening wel, toen ze certificaten van Verisign uitgaven. Maar dat onderdeel is in oktober 2010 verkocht en de organisatie is afgeschaald, zoals KPN dat noemt. "Wij zijn ingericht op grote managed PKI-omgevingen, zoals bijvoorbeeld de UZI-pas", vertelt Henk Hendriks, manager Trusted Services bij KPN. Dat proces richt zich op het leveren van batches met 10.000 pasjes met meerdere certificaten erop en niet het leveren van een certificaat voor een server. Die zaterdagochtend werd dat ineens anders. "Opeens krijg je zo'n hoos over je heen."

Volgens het bedrijf is er door Logius druk uitgeoefend op KPN om deze business te gaan oppakken. "We gaven daarvoor slechts enkele honderden certificaten voor PKI Overheid uit", stelt Hendriks. Maar in de DigiNotarcrisis ging het volgens hem over duizenden certificaten, maar precieze getallen wil Hendriks niet geven. Die verzoeken moesten in korte tijd worden afgewikkeld.

Idiote werkdruk

Wat volgde was een spitsuur met aanvragen voor nieuwe certificaten. De werkdruk was extreem, terwijl alles wel volgens de procedure moest verlopen. Zo moeten aanvragers papieren overhandigen zodat kan worden gecontroleerd dat iemand bevoegd is een certificaat aan te vragen en ook daadwerkelijk de persoon is die hij zegt te zijn. "Op een gegeven moment stonden koeriers in de file in de straat om die stukken te brengen", vertelt Hendriks.

De hele procedure is zodoende erg arbeidsintensief. KPN heeft wel genoeg personeel in dienst dat bevoegd is om de procedures af te werken, maar de meesten hadden er geen ervaring mee. "Soms heb je het over consultants die bij klanten zaten en die we daar hebben weggehaald voor deze problemen", legt Hendriks uit. Ook was het nodig om extern mensen in te huren. Eerder heeft het KPN al laten weten dat er daardoor veel verkorte opleidingen moesten worden doorlopen.

Ministerie van het lijf houden

Ondertussen moest ook het Ministerie van Binnenlandse Zaken van het lijf worden gehouden. KPN wil geen 'Diginotar-2' worden en wilde vooral correct werken, maar het PKI Overheid-onderdeel van BZK oefende grote druk uit. Veel kritieke diensten van de overheid dreigden in gevaar te komen en de overheid wilde dus snel over nieuwe certificaten beschikken. "Iedere dag was er crisisoverleg", herinnert Hendriks zich dan ook.

Die hoge werkdruk leidde tot fouten, zoals tikfouten in namen, het vergeten van een ondersteunend document. Allemaal zaken die bij de extra controles die waren ingesteld meteen opvielen, omdat er al rekening werd gehouden dat er fouten zouden worden gemaakt. "In al die gevallen moet je een certificaat intrekken, ook al is het nog niet uitgegeven."

Falende printers

Later wisten ook de notarissen en deurwaarders KPN te vinden voor het vervangen van hun certificaten. Die traditionele doelgroep van DigiNotar gebruikte kaarten met daarop drie certificaten, en dus moest ook die productielijn weer op volle toeren gaan draaien. Omdat ieder kaart volgens de regels rond PKI Overheid drie certificaten heeft (een voor ondertekenen, een voor authenticatie en een voor versleuteling) was dit nog arbeidsintentiever. En als er iets verkeerd ging, kwamen er ineens ook drie ingetrokken certificaten op de intrekkingslijst.

En misgaan deed het. Door de forse toename in aantal aanvragen werd er extra apparatuur neergezet. De kaarten moeten gedrukt worden en daarvoor zijn er smartcardprinters. Volgens Hendriks weigerden deze dienst en was het niet duidelijk waarom. Uiteindelijk na dagenlang onderzoek bleek er een probleem in de combinatie van computer en printer te zijn, omdat de chip voor USB-aansluitingen een probleem had. "Uiteindelijk hebben we de computer verwisseld en toen werkte de printer wel." Welke apparatuur het precies betrof wil KPN niet zeggen.

Niet gehackt

En dan was er nog de onderbreking van de dienstverlening op 4 november. "Er was een vuiligheidje waargenomen door externe auditors (van KPMG - redactie). Dat, in combinatie met het nemen van je eigen verantwoordelijkheid, was reden om te stoppen met het uitgeven van certificaten", verklaart Hendriks. Dat "vuiligheidje" bestond uit historische commando's in de logfiles, die niet goed te verklaren leken. "Mogelijk zou het gebruikt zijn voor een aanval op derden, maar mogelijk ook niet. Het is niet bewezen."

Wel erkent het bedrijf dat het verbeteringen heeft moeten doorvoeren. In de loop van de jaren waren er ook oudere php-scripts blijven staan die "niet allemaal even handig" waren. Maar van een inbraak was uiteindelijk geen sprake, zouden ook de auditors hebben geconcludeerd. Maar na herhaalde verzoeken van Webwereld willen KPN noch het ministerie van BZK het auditrapport of de conclusies openbaar maken. Hendriks is desondanks stellig: "Op beveiliging hebben wij hier nog nooit bezuinigd."

Bron: Webwereld

Gemnet lekte ook niet-openbare informatie

Volgens Minister Donner was er alleen algemene informatie op de KPN-server van Gemnet aanwezig. Maar via een hacker wordt duidelijk dat er ook klantgegevens toegankelijk waren.

In een brief aan de Tweede Kamer stelt Minister Donner dat er een algemene publiekssite is gehackt. De brief volgt op de onthulling dat een onderdeel van KPN was gekraakt.

Meer dan algemene informatie

Volgens KPN vielen de problemen behoorlijk mee. "Inmiddels is uit intern onderzoek gebleken dat een inbraak uitsluitend openbare, algemene informatie betrof", stelt het bedrijf in een verklaring.

Maar tijdens de hack was al duidelijk dat er ook andere documenten op de server toegankelijk waren. Een voorbeeld is een document met interne routering tussen Gemnet en diverse klanten.

Dominus Decedere

Inmiddels is duidelijk dat er daadwerkelijk meerdere hackers actief waren. Een daarvan voert de alias 'Dominus Decedere', hij had ook toegang tot de server. Hij kreeg een database in handen met daarin klantgegevens en ordergegevens van Gemnet. Daarbij gaat het om aansluitingen voor beveiligde verbindingen (VPN), uitbreidingen op dienstverleningen, enzovoort.

KPN erkent de nieuwe ontdekking. "Klanten kunnen algemene Gemnet-diensten aanvragen via gemnet.nl. Dit gaat niet om aanvragen van certificaten. Bij zo'n algemene aanvraag laten klanten hun contactgegevens achter", stelt Simona Petescu, voorlichter bij KPN.

"Het CMS, waarmee het openbare deel van de website wordt beheerd houdt die zakelijke naw-gegevens nog vast: deze zijn achterbleven op de webserver van www.gemnet.nl. Het gaat hierbij om aanvraaggegevens voor Gemnet-diensten zoals een internet upgrade, verandering Service Levels, upgrade bandbreedte Gemnet verbinding."

Het bedrijf benadrukt dat het niet mogelijk was PKI Overheidscertificaten aan te vragen.

Debat

Er blijkt dus een verschil te bestaan tussen de uitleg in de kamerbrief en de nieuwe feiten waarmee de hacker komt. Arjan El Fassed, die om de brief van de regering vroeg en ook een debat heeft aangevraagd, schrikt van de bevindingen.

"Ik hoop dat dit een vergissing is", zegt hij tegen Webwereld en laat doorschemeren dat hij daar ook vanuit gaat. "Het maakt duidelijk hoe belangrijk goed toezicht is. Dat moet volledig transparant zijn. Tijdens het debat moet hier maar duidelijkheid over komen."

Bron: Webwereld

Nederlandse bedrijven doelwit phishingaanval

De Nederlandse Vereniging van Banken (NVB) waarschuwt bedrijven voor een gerichte phishingaanval. De e-mail lijkt afkomstig van de NVB en heeft als onderwerp "Geannuleerde transactie". Het bericht waarschuwt voor een geannuleerde "transfer". De reden voor de afwijzing staat in een link, die naar een bestand genaamd "report_29261.pdf.exe" wijst. Dit zou een "self-extracting archief, Adobe PDF" zijn. Het bestand wordt op een gehackte Nederlandse website gehost.

Om de phishingaanval legitiem te laten lijken, wordt ook de bedrijfsnaam in het bericht vermeld. "Helaas is er een mailbericht, zogenaamd afkomstig van de NVB met als onderwerp 'Geannuleerde transactie', in omloop. Deze mail is NIET van ons afkomstig. Deze (zogeheten phishing)mail dient u direct te verwijderen. U moet zeker niet de bijlage (rapport.pdf.exe) aanklikken. Deze bijlage bevat virussen die uw computer kunnen schaden", aldus de NVB.

Bron: Security.nl

OpenDNS Releases DNSCrypt

Another innovation from those overachievers at OpenDNS; namely, DNSCrypt, the company’s latest foray into protective DNS client-side applications, encrypting all traffic to the OpenDNS nameservers, from, at this time, Apple Inc. (NasdaqGS: AAPL) MAC OS X systems.

Currently utilizing the released bits on the MAC and found it to be a well-behaved, network encryption product. Albeit the pre-release versioning, and the inability to keep persistent settings (users must re-enable default encryption post-reboot. After all, this is pre-release). Outstanding.

“…In the same way the SSL turns HTTP web traffic into HTTPS encrypted Web traffic, DNSCrypt turns regular DNS traffic into encrypted DNS traffic that is secure from eavesdropping and man-in-the-middle attacks. It doesn’t require any changes to domain names or how they work, it simply provides a method for securely encrypting communication between our customers and our DNS servers in our data centers. We know that claims alone don’t work in the security world, however, so we’ve opened up the source to our DNSCrypt code base and it’s available on GitHub…” - OpenDNS

Bron: Infosecurity