maandag 28 februari 2011

De driehoeksverhouding tussen eindgebruikers, overheid en beveiligingsexperts

De cybercriminelen lachen het hardst, schrijf ik in november. De een na de andere spamronde zgn. van de ING ziet het licht. De een nog vernuftiger dan de ander. Zo is er een ronde waarbij de eindgebruiker eerst een mailtje krijgt, dat ze ergens hun gegevens moeten invoeren. De meesten snappen wel dat dit overduidelijk spam is. Dan volgt een mailtje van de ING (zgn.) dat er spamberichten de ronde gaan die de gegevens van ING klanten proberen te ontfutselen en men wordt aangeraden op een link te klikken om naar hun account te gaan en vervolgens komt men alsnog op een foute website. Of b.v. Stuxnet, een geavanceerd staaltje software dat volop in het nieuws staat vorig jaar. Volgens bronnen gemaakt om de uranium productie te verijdelen. Of het door overheden of cybercriminelen gemaakt is, is onduidelijk. Deze vraag stel ik ook al in mijn blog van eind november. Want wanneer is iets cybercriminaliteit?

Afhankelijk van de doelstelling en/of wie de autoriteit heeft, wordt software ingezet t.b.v het realiseren van eigen belangen en doelstellingen. Webwereld meldt in februari van dit jaar dat Anonymous (mede opgericht door een Nederlander) code van Stuxnet heeft gekaapt om haar eigen doelstellingen te verwezenlijken, namelijk overheden en bedrijven aanvallen die Wikileaks blokkeren. Belangrijk is dus dat privacy gerespecteerd wordt zodat overheden die misbruik maken van hun macht, niet onbeperkt hun macht kunnen uitbreiden ten koste van het volk. En iedereen die gebruikt maakt van de digitale wereld moet zich bewust zijn van de mogelijkheden en vrijheden die belemmerd kunnen worden door anderen, zoals cybercriminelen, maar ook overheden, bedrijven etc als zij software inzetten voor hun eigen doelstellingen. Hier stelde Peters van Groenlinks al eerder vragen over aan Ivo Opstelten van het Ministerie van veiligheid en Justitie, aangezien de focus van het ministerie de komende jaren is het waarborgen van de digitale veiligheid en de grens tussen beveiligen en privacy een grijs gebied zijn.

En het is zeker niet voor niets dat de politie een steeds proactivere houding ten opzicht evan Cybercrime moet hebben en er meer van hen wordt verwacht. Cybercrime zoals Stuxnet kan rampen veroorzaken van het format tsjernobyl, zoals Webwereld onlangs meldt.  Na de Ddos aanvallen op de Rabobank en het aantal botnets die het licht zien, wordt de noodzaak van beveiliging steeds belangrijker. Hergebruik van code zoals Fast flux (wordt gebruikt door cybercriminelen om zich te verstoppen) in nieuwe botnets, die op kortetermijn door experts ontmaskerd zijn, de cybercriminelen hebben vrij spel. Begin dit jaar bericht Security.nl dat er een nieuw botnet Storm Signal ondekt is door ESET, dat Fast Flux gebruikt en Automatisering Gids meldt in februari dat er opnieuw een nieuw botnet ontdekt is, Wibimo. En in 2007 schreef Tweakers al over deze toepassing van Fast Flux! En dat is nog lang niet alles…Cybercriminaliteit groeit exponentieel concludeert Nu.nl in augustus 2010.

Dus hoe gaat de overheid dit dan aanpakken? Het lid Recourt van de PvdA stelt deze vraag aan Opstelten van het ministerie van Veiligheid en Justitie. Maar het antwoord om cybercriminaliteit effectief aan te pakken is niet eens zo moeilijk. Beveiligingsleveranciers volgen de activiteiten van de cybercrimineel al jaren. Ze analyseren hun code continue. Zij hebben meer informatie dan wie ook over de malware en de makers hiervan.  Novomesky  van ESET is hier zeer duidelijk over. Dus de eerste en simpelste stap is de focus op een goed samenwerkingsverband tussen overhead en experts, zodat niet langer de cybercrimineel aan het kortste eind trekt, maar onze veiligheid door goede informatievoorziening op basis van kennis van experts, goede communicatie tussen experts en mensen belast met het opsporen van criminelen t.b.v. onzeveiligheid en het verhogen van onze eigen deskundigheid en bewustzijn van onze verantwoordelijkheid t.o.v. de vrijheid die de digitale wereld ons biedt. Vandaar uit kunnen we onze informatie en kennis vrijelijk delen en onze mogelijkheden onplooien.

dinsdag 30 november 2010

Als de cybercrimineel de overheid is, wat dan?

In mijn vorige blog schreef ik dat de overheid niet zomaar toegestaan mocht worden berichten achter te laten op geinfiltreerde PC’s van eindgebruikers. Dat de cybercriminelen lachen omdat zij de politie hun informatie niet heeft en de beveiligingsbedrijven hen niet kunnen oppakken. En dan ineens lees ik over Wikileaks en de Chinese regering die de aanval opent op gmail ; een concrete bevestiging waarom je jouw persoonsgegevens moet beschermen. Jouw identiteit heeft waarde, maakt dus niet uit aan welke kant je van de wet staat, jouw informatie wil iedereen hebben. Niet iedereen is blij dat de informatie over hen gepubliceerd wordt, zoals WikiLeaks dit nu doet, maar het is wel even een reality-check dat jouw informatie NERGENS veilig is. Stuxnet is een mooi staaltje malware, WikiLeaks heeft naar hun eigen zeggen last van DDOS aanval en onze informatie wordt verkregen door phishing, hacking en andere methodes.

In de Automatiseringgids stond een mooi artikel over de nieuwe game die we gratis op de basisscholen (maar ook voor MBO, HBO en Universiteit) spelen om de kinderen bewust te maken van veilig internetten (kan ook bij jouw kinderen op school, gewoon laten aanvragen bij marielle@spicylemon.nl). Want wij vinden het onze verantwoordelijkheid mensen bewust te maken hoe ze zichzelf kunnen beschermen en kinderen staan bovenaan in onze prioriteitenlijst, aangezien steeds meer scholen met het internet en computers gaan werken. Dick Ahles haalde dit ook al aan in zijn blog van een paar weken terug. Met de mogelijkheden van delen van informatie en kennisontwikkeling die het internet bieden, krijgen we ook te maken met de andere kant van het internet waardoor massaal misbruik gemaakt kan worden van die mogelijkheden. Dat is in onze fysieke wereld zo en dat is op het internet niet anders. Alleen gebeurt het nu op andere schaal en daar moeten we ons bewust van zijn! Vroeger zag alleen je buur dit, maar nu kijkt China ook mee. En er wordt niet alleen naar jou gekeken, maar ook naar mensen waarmee jij bepaalde overeenkomsten deelt waardoor je een ‘target’ wordt. Het maakt dan niet meer uit of het voor de overheid is of voor de cybercrimineel. Geef ze gewoon die mogelijkheid niet!

vrijdag 19 november 2010

Wat hebben overheid en cybercrime gemeen?

Het internet onthult veel. Gegevens worden (lang) bewaard. Verbanden eenvoudig gelegd. Zo delen we alles, ook volgen we alles wat binnen onze interesse ligt. Of Stuxnet inderdaad een vorm van digitale oorlogvoering is of ontwikkeld door een groep activisten, heb ik in mijn netwerk van beveiligingsexperts neergelegd, waar ESET op heeft gereageerd. Wat de cybercriminelen doen interesseert mij, want ik wil weten hoe cybercrime zich ontwikkelt zodat we weten hoe we onszelf beter kunnen beschermen.

Als ik dan in Tweakers lees, dat de overheid berichten achter kan laten op machines van door cybercrime geïnfiltreerde gebruikers, dan zijn ze zelf ook niet vies is van de 'mogelijkheden' van het internet, zeg maar. Wat is daar anders aan dan het infiltreren van machines door cybercrime? Beiden hebben zichzelf toegang verschaft tot mijn pc en mijn persoonlijke data, zonder mijn toestemming. En who’s watching the watcher?

Wie is de baas over mijn data? Dat is dus de grote vraag zoals ook weer blijkt uit het artikel over burgerrechten en de zwarte doos van de overheid...iedereen kan overal bij, volgt alles en bewaart alles, maar toegang tot jouw eigen informatie wordt bepaald door een ander? Is mijn privacy op grond van de burgerrechten, mijn eigendom waarover ik kan beslissen? Of genereer ik mijn persoonlijke informatie zodat de overheid en/of de cybercrime hun voordeel er mee kunnen doen?

Het wordt hoog tijd dat wij ons niet alleen beveiligen tegen cybercrime als prive persoon of als zakelijke gebruikers, maar onze burgerrechten en onze persoonlijke vrijheid beschermen. Want je veilig voelen is een voorwaarde om je te kunnen ontwikkelen. En het internet is een prachtige facilitator die ons de vrijheid biedt te communiceren, kennis delen en jezelf ontwikkelen ongeacht plaats of tijd. Onze privacy moet beschermd worden, zodat wij onbezorgd in alle vrijheid gebruik kunnen maken van de digitale wereld. Onze digitale vrijheid is afhankelijk van het recht op privacy. En dat recht is van ons.

vrijdag 5 november 2010

Cybercriminal lacht het hardst...

Security ontwikkelaars zoals ESET, kennen als geen ander de cybercriminals. Ze kennen hun software, weten vaak het land van oorsprong van de software, weten waar ze mee bezig zijn. Onlangs was in het nieuws dat het Openbaar Ministerie pc's van buitenlandse cybercriminelen wil kunnen 'hacken' en dat de politie waarschuwingen achterliet op de PC van geinfiltreerde consumenten. Maar who is watching the watcher? En hoe zit het privacy? Een terechte vraag van kamerlid Mariko Peters. Novomesky geeft aan dat zij waardevolle informatie hebben, maar geen autoriteit. De politie heeft de autoriteit maar beperkte informatie. De laatste wil meer bevoegdheid, maar wordt onze privacy hiervoor op de onderhandelingstafel gelegd? Is een samenwerking en bundeling van krachten niet een eerste stap? Voorlopig is die eerste stap nog niet gezet, vertelt Novomesky, terwijl de cybercrimineel lacht...