Bigwobber: wie vraagt krijgt meer » beveiliging

Notities ter voorbereiding van de ronde tafel DigiNotar

Brenno de Winter — Fri, 16 Sep 2011 06:55:46 +0000

De volgende tekst is geschreven aan de kamerleden van de vaste kamercommissie Binnenlandse Zaken bij de hoorzitting over DigiNotar.

Toen ik enkele minuten na een Twitter-bericht van een Iraniër werd gebeld dat er iets speelde bij DigiNotar was voor mij evident dat dit een incident van een fors kaliber was. Meteen was duidelijk dat als het verhaal waar zou blijken er mensenlevens in Iran op het spel stonden. Pas later die nacht werd duidelijk dat ook Nederland via PKI Overheid betrokken was en dat hier wel eens gevolgen voor het maatschappelijk verkeer zouden zijn. Ter verduidelijking: dat is collateral damage bij deze inbraak en zeker niet de hoofdzaak. Dat het wel hoofdzaak is geworden heeft alles met de falende incident response te maken.

Het belangrijkste signaal dat er iets helemaal mis is, was het eerste signaal. Een inbraak in de systemen van DigiNotar zou eigenlijk geen probleem kunnen zijn. De omgeving om certificaten te verstrekken is immers volledig gescheiden van de rest van het bedrijfsnetwerk. Dat er toch een certificaat is verstrekt van enig kaliber kan twee dingen betekenen. Het meest waarschijnlijke was eerst een inside job van iemand die een derde partij helpt. Dat is ook het meest waarschijnlijk, omdat een nepcertificaat ook verborgen moet blijven in administraties. Als tweede scenario zou het zo kunnen zijn dat DigiNotar op meerdere punten steken heeft laten vallen. Die optie was initieel niet waarschijnlijk om zes redenen:

Dit bedrijf is afkomstig uit het notariaat dat een reputatie heeft op het gebied van uiterst precies zijn;
Het is ondenkbaar dat de omgevingen verbonden zijn en er leek geaudit te zijn door zowel de OPTA als PWC;
Binnen de internetgemeenschap is het gebruikelijk dat mensen met een hack van dit kaliber naar buiten treden;
Het betreft waarschijnlijk één certificaat;
DigiNotar is onderdeel van een beveiligingsbedrijf Vasco Data Security dat zich specialiseert in online toegang tot systemen en dus bekend is met de techniek. Daarnaast behoort zo’n onderneming met de mores bekend te zijn;
De AIVD erkende onderzoek te doen. Alhoewel dit argument op zichzelf geen harde indicator is. Dit argument speelt slechts in een bredere context een rol.

Niet veel later werd duidelijk dat er meer certificaten in het geding waren. Daarbij ging het iedere keer om certificaten voor websites met communicatie mogelijkheden, het distribueren van programmatuur en blogs die vaak kritisch over de Iraanse regering zijn. De signatuur is helder en opeens is ook helder dat het kennelijk om een volume aan certificaten gaat. Nog iets later bleken veel certificaten ook al eerder te zijn ingetrokken. De optie van een niet gescheiden omgeving was realistisch. In die context was duidelijk dat iedere garantie over PKI Overheid compleet niet op feiten gebaseerd kon zijn. Dat beeld werd versterkt door het advies van DigiNotar om beveiligingsalarmen van de webbrowser maar te negeren. Frustrerend voor al die mensen die jarenlang mensen opvoeden in verantwoord internet gebruik en gewoon ronduit gevaarlijk. Dit bedrijf probeert niet alleen Nederlanders maar ook de gedupeerden in Iran vooral gerust te stellen zonder dat daar reden voor is.

De communicatie vanuit het Rijk bestond uit verkondigen dat er geen aanleiding was bezorgd te zijn om PKI Overheid. Een statement dat op niets anders gebaseerd is dan op een optimisme zonder enige grondslag. Sterker nog: het toont een compleet onbegrip van de werking van certificaten. Dit is een vertrouwensbranche. Dat vertrouwen wordt gegeven door de gebruikers en door de leveranciers van webbrowsers. Het is geen opeisbaar recht, maar zo werd het wel ingezet. Er waren ook overheden die het advies van DigiNotar ook hebben overgenomen: negeer de alarmbellen.

Inmiddels werd ook duidelijk dat het toezicht compleet heeft gefaald. Opvallend – en dat zien we vaker – is dat audits vooral heel procedureel zijn gericht. Daarbij wordt nog altijd vertrouwd op de ogen van de betrokkene die moet ‘slagen’ voor de audit. Wanneer de Douane op Schiphol mij vraagt of ik iets heb aan te geven en ik zeg nee dan mag ik niet doorlopen. Er wordt in mijn koffer gekeken. Bij DigiNotar is evident nooit in de koffer gekeken, totdat Fox IT langs kwam. Toen bleek er wel heel veel mis te zijn op het meest basale niveau.

Voor de toekomst zal de bestaande praktijk echt een onderdeel van de controles moeten vormen. Het rapport schetst een vernietigend beeld van een bedrijf dat compleet lak moet hebben gehad aan regels. Een gemakzucht die daadwerkelijk mensenlevens in Iran in gevaar heeft gebracht. Niet alleen bij het dagelijkse werk, maar ook bij de omgang met het beveiligingsincident. Daarbij is het goed te beseffen dat het onbestaanbaar is dat een lek, waarvan op 28 juli duidelijk werd dat dit honderdduizenden keren gebruikt werd vanuit Iran en dat het dus helemaal verkeerd zit, geheim wordt gehouden. Dat was een moment dat het er echt op aankwam. DigiNotar liet het compleet afweten. Cynisch zijn dan de woorden van directeur Tony de Bos als politicus: “Het leven in een democratie is niet vanzelfsprekend. In andere delen van de wereld geven mensen hun leven om hun samenleving democratischer te maken. Ik vind het leven in een democratie een groot voorrecht waar ik graag mijn steentje aan bijdraag.”

Toen duidelijk werd dat ook PKI Overheid in gevaar was, kreeg ik een e-mail in handen waaruit ondubbelzinnig bleek dat Nederland niet klaar is voor een incident van dit kaliber. Of de decentrale overheden in kaart willen brengen welke certificaten er zijn, waarvoor ze gebruikt worden en wat uitval zal betekenen. Standaard zaken die binnen de ICT-beveiliging geregeld horen te zijn in een Business Continuity Plan. Maar de bittere realiteit is dat over het draaiend houden van kritieke infrastructuur onvoldoende is nagedacht. Er zijn geen reserve certificaten aangeschaft, nooit is nagedacht over versnelde migratie en er is al helemaal geen beeld of en wat de gevolgen zijn bij uitval.

Dus in paniek moeten overheden het zelf maar uitvoeren. Let wel: dit falen trekt een zware wissel op de mensen in vooral kleinere gemeenten. De ICT-mensen verzuipen daar in het werk en de veranderingen die Den Haag aan ze oplegt. Nu wordt ze gevraagd plannen te maken voor een situatie, waarvoor ze niet zijn opgeleid en wat ze eigenlijk niet kunnen. Zestien dagen na het begin van het incident zijn er gemeenten nog steeds aan het zoeken naar de oplossing. Er is nog steeds geen deugdelijk uitleg gegeven van het incident en de gevolgen. Nog altijd begrijpen sommige decentrale overheden maar half wat er aan de hand is. Ook de communicatie laat het afweten.

Via bronnen is mij ook duidelijk geworden dat intern de technische kennis bij Govcert wel aanwezig is, maar dat het voeren van regie gewoon niet tot de skillset behoort. De organisatie staat ver van de dagelijkse praktijk en de realiteit af. Bovendien heeft het een vijandsbeeld gecreëerd waar de burger onderdeel van is. Crisismanagement bij deze organisatie laat het dan ook afweten. Deze week wees IBM mij op het bestaan van een team dat kijkt of NATO ook bij digitale oorlogsvoering kan helpen in noodgevallen. Misschien geen gekke gedachte om vanuit het buitenland ook hulp te aanvaarden. Immers internet kent geen grenzen. Inmiddels is duidelijk dat zeker vijftien keer eerder de veiligheid van de staat in het geding is geweest bij security incidenten. In een aantal gevallen ging het om een targetted attack. Het is evident dat op een open netwerk geen zaken thuis horen die dermate cruciaal zijn. Ook hier schort het aan voldoende regie.

Bij de Nederlandse overheid heerst een techno-optimisme, vertelde een onderzoeker aan het Rathenau Instituut mij. Daarin heeft hij gelijk. Incidenten zijn schering en inslag. We slaan zoveel gevoelige gegevens op zonder over beveiliging na te denken dat ik wekelijks een scoop heb van weer een overheids-gelieerde organisatie die gevoelige gegevens onbeveiligd opslaat. Standaard software haalt dit naar boven zonder dat daar nog enige intelligentie aan te pas komt. Iedereen kan dit dus doen. Zoiets praat je niet goed dat ‘niets 100 procent veilig’ is, want dit zijn voorbeelden dat het 100 procent onveilig is. Er zijn goede standaarden in de industrie om een minimaal niveau van beveiliging neer te leggen. Dat zou een beginpunt kunnen zijn.

Ik roep een aantal voorbeelden van ernstig beveiligingsfalen of techno-optimisme in herinnering: De vingerafdruk in het paspoort. Er wordt gewerkt met onvoldoende betrouwbare technologie. Opslag wordt al gedaan, voordat duidelijk is hoe uiteindelijk systemen vorm krijgen. Over privacybezwaren wordt niet of nauwelijks nagedacht;

Er heerst een sfeer van miskennen van problemen bij de overheid. Het College Bescherming Persoonsgegevens wordt nog wel eens genegeerd als het om adviezen en aanwijzingen gaat. Bij een debat over de aanpak van cybercriminaliteit werd in de kamer gegrapt over het ontbreken van een advies van het CBP met de opmerking ‘dat geloven we zo wel’. Voor de Rijkspas wordt zelfs geprocedeerd om vooral maar meer gegevensverwerking te gaan doen dan het CBP wettelijk vindt kunnen. Gelukkig is dat beeld van alles kan maar worden opgeslagen iets aan het kantelen ten gunste van een ontluikend bewustzijn van risico. Maar als er een meldplicht datalekken komt dan zal de CBP-organisatie met 80 man dit niet aankunnen. Effectieve handhaving is wel een absolute must, want zonder serieuze strafrechtelijke dreiging is DigiNotar-gedrag de norm.

Toen professor Bart Jacobs van de Radboud Universiteit, autoriteit op het gebied van gegevensbeveiliging, waarschuwde voor de problemen met de OV-chipkaart werd hij weggehoond. Zelf heb ik mogen ervaren dat het blootleggen van een groot falen in diezelfde kaart leidt naar een diep op mijn priveleven ingrijpend strafrechtelijk onderzoek. Niet de directie van Trans Link Systems die het parlement evident foutief heeft geïnformeerd staat ter discussie. Een beeld dat structureel is, want bij het blootleggen van basale lekken werk ik met een hacker (Pompiedompiedom) die uit angst voor represailles zijn echte naam niet durft te geven. De man heeft waarschijnlijk inmiddels wel tienduizenden mensen behoedt voor identiteitsdiefstal. In plaats van een beloning moet hij in anonimiteit leven. De demonstratie van PVV-kamerlid Brinkman bij de provincie Noord-Holland is dan ook een moedige daad. Want om de misstand te bewijzen heeft hij wel computervredebreuk gepleegd. De gemeente Amsterdam, zelf wel vaker in het nieuws met falende beveiliging, deed aangifte tegen GeenStijl-medewerker Bert Brussen toen zij zelf wachtwoorden bleken te publiceren en een stadsdeel dat liever niet gemeld zag.

Als bij een aanbesteding rond het verzenden van SMS-berichten beveiligingseisen in het geheel ontbreken dan verkoopt de landsadvocaat dat in de rechtszaal door te stellen dat eisen rond beschikbaarheid hetzelfde is als gegevensbescherming. Privacy- en beveiligingsbezwaren bij het Elektronisch Patiënten Dossier zijn lang genegeerd. Bij stukken van een Wob-verzoek aan het CBP zat ook een post-it van Jacob Kohnstamm die geïrriteerd schreef dat hij met de houding van het ministerie van VWS wel klaar is. Omwille van de omvang van dit schrijven, zal ik u verdere voorbeelden besparen.

Er heerst een techno-optisme om intensieve opslag van gevoelige gegevens te doen, de veiligheid van de staat te riskeren en de problemen te onderschatten. Als het misgaat ontbreekt het aan een fatsoenlijk plan B, regie en kunde om goed te communiceren. De cybersecurityraad, de strategie die is neergelegd en de meldplicht datalekken (als deze in het strafrecht komt) zijn een begin van een oplossing. Meer bevoegdheden opeisen en burgers rechten afpakken gaat hierbij niet helpen. Sterker nog dat vergroot de problemen alleen maar. Een echte oplossing zit meer in het beter coördineren van incidenten, echt voorkomen ervan en een zeer nederige zelfkritische houding. De huidige stappen zie ik als los zand, ongeschikt om een gecoördineerde aanval echt aan te kunnen.

Als de overheid serieus wil aanvaarden dat er naties zijn die digitale techniek inzetten om ons aan te vallen, dan is het moment aangebroken eerst een heel kritisch zelfonderzoek te doen. Ook moet serieus worden overwogen of ons land niet excuses aan het Iraanse volk heeft te maken voor het onnodig in gevaar brengen van levens. Nederland wil een land met een kenniseconomie zijn en om dat te kunnen zullen we moeten stoppen onszelf continu belachelijk te maken met onkundigheid. Voor mij als technologisch-bewust burger is het tenenkrommend om te zien dat bij herhaling echt kundige mensen worden geridiculiseerd ook als de motieven niets anders dan dienend aan het Nederlands algemeen belang. Het is echt tijd voor kritisch zelfonderzoek waarbij er geen heilige huisjes mogen zijn.

Lijst met beveiligingsincidenten Govcert

Brenno de Winter — Thu, 15 Sep 2011 13:19:49 +0000

Bij Govcert worden veel beveiligingsincidenten afgewikkeld. Via de Wob wordt een lijst van incidenten geopenbaard. Een aantal moeten geweigerd worden met een beroep op de veiligheid van de staat.

Lijst met incidenten

De opslag van beelden van Amerikaanse bodyscans

Brenno de Winter — Thu, 05 Aug 2010 09:01:10 +0000

In de Verenigde Staten blijken de bodyscanners in rechtbanken beelden op te slaan. Ook de luchtvaartautoriteiten vragen om scanners om dit te kunnen doen. Aan het Amerikaanse Congres meldt de luchtvaartbeveiligingsautoriteit (TSA) dat dit alleen voor “opleiding, testen en evaluatie” is. De volgende documenten zijn daarover beschikbaar:

De beveiliging van het EPD

Brenno de Winter — Mon, 28 Jun 2010 13:16:35 +0000

Rond het elektronisch patiëntendossier is veel te doen rond beveiliging. Door een ‘hacker’ in te huren zou moeten blijken dat alles goed zit. Om meer duidelijkheid te krijgen rond de staat van de beveiliging. Uit onderzoek ontstaat de ernstige verdenking dat er meer documenten bestaan dan er daadwerkelijk zijn geleverd en ook worden er documenten geweigerd. Opvallend is ook dat veel van de ‘geopenbaarde documenten’ reeds publiek zijn en daardoor niet verstrekt hadden moeten worden. Al met al grond genoeg voor het starten van een bezwaarprocedure, die op dit moment nog loopt.De volgende documenten zijn beschikbaar:

Bezwaarprocedure:

21-05-2010 – Bezwaarschrift;

Wobber: Brenno de Winter

Tussentijdse evaluatie cameratoezicht Almere

Rejo Zenger — Sun, 21 Feb 2010 08:21:11 +0000

Op 10 februari 2010 publiceerde het College van Burgemeester en Wethouders van de Gemeente Almere een persbericht waarin het “Tussentijdse evaluatie cameratoezicht Almere” genoemd werd. Op basis van deze evaluatie wil de gemeente de communicatie tussen de observanten en gemeente beter gaan organiseren. Met de meeste meldingen blijkt niets te gebeuren. De evaluatie zelf wordt niet gepubliceerd.

Op 14 februari wordt de gemeente, met een beroep op de Wet openbaarheid van bestuur, om de evaluatie verzocht. De gemeente reageert bijzonder snel.

Het volgende document is beschikbaar:

Tussentijdse evaluatie cameratoezicht Almere, 5 november 2009

Beslissingsdatum: 19 februari 2010
Wobber: Rejo Zenger

Cameratoezicht in Amsterdam Slotervaart in 2009

Rejo Zenger — Sun, 14 Feb 2010 11:45:14 +0000

Op de website eenveiligamsterdam.nl zijn een aantal beleidsdocumenten over het cameratoezicht in Amsterdam te vinden. Over het toezicht in het stadsdeel Slotervaart is echt weinig te vinden. Het meest recente document is een brief van burgemeester Cohen aan het stadsdeel Slotervaart uit eind 2007 waarin hij de toestemming met een jaar verlengd, tot 31 december 2008.

Een jaar na het aflopen van de verlengde toestemming hangen de camera’s er nog altijd. Een verzoek op basis van de Wet openbaarheid van bestuur moet helderheid geven.

De volgende documenten zijn beschikbaar:

Plan van aanpak cameratoezicht August Allebéplein, 2007
Plan van aanpak cameratoezicht Belgiëplein, 2007
Plan van aanpak cameratoezicht Delflandplein, 2007
Plan van aanpak cameratoezicht Sierplein, 2007
BSSG offerte plaatsen camera’s Johan huizingalaan, 21 november 2007
Plan van aanpak flexibel cameratoezicht, 15 januari 2008
Toestemming verlenging en uitbreiding tot eind 2008, 3 maart 2008
Protocol cameratoezicht en burenbelsysteem Johan Huizingalaan, 8 juli 2008
Bij nader inzien, evaluatie cameratoezicht Slotervaart, oktober 2008
Plattegrond cameraopstelling Sierplein, 10 oktober 2008
Verzoek politie verlenging, 21 oktober 2008
Verzoek toestemming cameratoezicht Sierplein, 25 november 2008
Verzoek toestemming tot juli 2009, 2 december 2008
Toestemming cameratoezicht Sierplein tot eind 2008, 18 december 2008
Toestemming verlenging tot eind juni 2009, 19 december 2008
Plan vervanging camerasysteem Slotervaart, 25 maart 2009
Verzoek verlenging cameratoezicht tot eind 2009, 16 juni 2009
Toestemming verlenging tot eind 2009, 30 juni 2009

Uit de evaluatie Bij nader inzien blijkt dat de kwaliteit van de beelden onbruikbaar slecht was: “je mag blij zijn als je het type auto herkent“.

Beslissingsdatum: 22 januari 2010

Wobber: Rejo Zenger

De privacy en beveiliging van de kilometerprijs

Brenno de Winter — Fri, 29 Jan 2010 14:07:07 +0000

In Nederland is een discussie ontstaan over de privacy van de kilometerprijs (vroeger beter bekend als de kilometerheffing of het rekeningrijden). Vooral het kastje dat iedere auto moet krijgen, zou als gevolg hebben dat mensen op ieder moment van de dag in de gaten worden gehouden. Ook vallen er de nodige vragen bij de beveiliging te stellen. De maatregel is volgens het Ministerie van Verkeer en Waterstaat een belangrijke maatregel om de uitstoot van broeikasgassen terug te dringen.

Op 13 december wordt om feitelijke helderheid te krijgen een verzoek ingediend met een beroep op zowel de Wet openbaarheid van bestuur alsmede het verdrag van Aarhus (recht op openbaarheid op basis van de milieu-aangelegenheid). Dit is expliciet gedaan om daarmee ruimere toegang tot informatie te krijgen en sneller een beslissing genomen moet worden.

Het Ministerie van Verkeer en Waterstaat reageert snel en op 21 december volgt informeel overleg. Besloten wordt de Wob – ook gelet op de omvang – in meerdere fases te beantwoorden. Het gedeelte met specificaties wordt in deze Wob in overeenstemming geweigerd, omdat er nog een lopende aanbesteding is. Na het gunnen wordt deze informatie op zeer korte termijn verstrekt.De volgende documenten zijn beschikbaar:

13-12-2009 – Wob-verzoek;
21-12-2009 – Informele beschikking;

Het wetsvoorstel van het huidige plan:

Er zijn een aantal flyers/factsheets gemaakt. Deze leggen het systeem op een hoog niveau uit:

Kilometerprijs in vogelvlucht – een globale, maar toch uitgebreide beschrijving van het systeem;
ABVM-15197-v1-Definitief Flyer Kilometerprijs;
VW405-1 WTK KM-prijs zakelijk A5-Brochure;
VW405-1 WTK KM-prijs publiek A5_Brochure;

De volgende algemene documenten zijn beschikbaar (na de lijst met bronnen gesorteerd op datum):

Wobber: Brenno de Winter