Wachtwoorden – nuttig?

februari 16, 2010 at 12:03 pm (Achtergrond, Oplossingen, Techniek) (, , , , , )

Amex, een van de amerikaanse creditcardmaatschappijen, verplicht zijn klanten om zwakke wachtwoorden te gebruiken. Ze mogen alleen letters (hoofd- en kleine letters) en cijfers toepassen. Dit verhoogt niet alleen de kans op het goed raden van wachtwoorden of de kans dat een woordenboekaanval slaagt, maar zo worden de kosten voor de creditcard gebruikers ook hoger. Jaarlijks betalen mensen met een creditcard een bedrag voor het gebruik. Daarbij inbegrepen is een soort verzekeringspremie tegen het misbruik. Winkeliers en bedrijven die creditcards accepteren betalen  een bedrag per transactie, maar ook om de kaart te mogen accepteren. Door nu wachtwoorden zwakker te maken zal de kans op misbruik stijgen. Dit betekent een stijging van verlieskosten voor de creditcard maatschappij. Zij moeten fraudeonderzoeken starten en de kosten verhalen. Hierdoor zullen de kosten voor de gebruikers, winkels en bedrijven stijgen.

In Japan worden two-factor authentication systemen afgedaan als te zwak, terwijl in Europa hooguit sms authenticatie gebruikt wordt – terwijl het gsm protocol al gekraakt is. In het land van de rijzende zon gebruiken ze bloedvatfingerprints als biometrische eigenschap. Deze techniek is beter en betrouwbaarder dan de gummibeertjes vingerafdruk, de onsmakelijke oorscan of de enge irisican die met een foto is te misleiden.

Hier gebruiken we sterke wachtwoorden bij banken, met hoofd- en kleine letters, cijfers en leestekens. Alleen dat onthouden, daar  heb je een truukje voor nodig: tel ze bij elkaar op. Maak bijvoorbeeld gebruik van een vast getal (datum, geluksgetal, of iets dergelijks) en een steeds wisselend woord. Combineer dit met een vast patroon en voeg hier een leesteken aan toe.
Voorbeeld:
BakSteen + 05121954 = 05Bak12Steen1954?
Nog een voorbeeld:
WaterFles + 05121954 = 05Water12Fles1954?

Zo krijg je een wachtwoord dat zowel sterk is als goed te onthouden voor een mens.
In de top 10 van ergerlijke beveiligingsmaatregelen wordt het “onzinnige wisselen van wachtwoorden” genoemd. Ik vraag mij dan af wat daar onzinnig aan is. Het argument “als een wachtwoord niet geraden is hoef je het niet te wijzigen” vind ik zwak. Als wachtwoorden geraden kunnen worden zijn ze zwak en moeten ze regelmatig worden gewisseld om de periode waarin misbruik mogelijk is te beperken. Voor sterke wachtwoorden geldt hetzelfde, omdat ze waardevolle informatie beschermen.

Daarnaast wil het niet zeggen dat een wachtwoord niet is geraden als er geen misbruik van bekend is. Dat wil alleen maar zeggen dat het misbruik niet bekend is.

Permalink Geef een reactie

Security in cloud computing

februari 13, 2010 at 6:00 pm (Achtergrond, Problemen, Techniek) (, , , , )

Cloud computing is “in”. Alleen een afspraak of contract met je directe leverancier, misschien nog een contactpersoon in je organisatie en alle techniek de deur uit. De ideale oplossing voor al je beheerproblemen – als alles werkt. In de praktijk zijn er veel haken en ogen te vinden bij cloud computing of outsourcing van je applicaties. Want bij intern beheer weet je bijvoorbeeld wie er aan je spullen zit. Je weet zeker dat je grootste concurrent niet zijn databases in hetzelfde datacenter heeft draaien als jij. Of als je applicatie het niet doet, dan weet je de verantwoordelijke manager snel te vinden. Verder weet je zeker dat je gegevens niet in andere landen terecht komen, waar andere regels gelden voor geheimhouding of schending van privacy.

Bij cloud computing is dat een ander verhaal. De beheerpartij kan de apparatuur weer ergens anders hebben onder gebracht en ook de datalijnen kunnen elders zijn uitbesteedt. Zelf kan de technische partij die de apparatuur huisvest een parallel datacentrum hebben in een land hier ver vandaan – buiten de EU en de daaraan verbonden wetgeving. Ongewild en ongeweten kun je zo risico’s lopen met de vertrouwelijkheid van je gegevens. De Amerikaanse wetgeving gaat heel anders om met privacybescherming en datastromen dan de EU wetgeving.

Voordat je je bedrijfskritische applicaties onderbrengt in ‘the cloud’ moet je je er van bewust zijn dat ook deze dienstenleveranciers fouten maken en dat je daar last van kunt ondervinden. Denk aan de storing in 2009 bij Google, waardoor Google-docs enkele uren niet beschikbaar was. Bij eigen beheer of intern beheer heeft een organisatie de mogelijkheid prioriteiten te stellen die van invloed (kunnen) zijn op de oplossingssnelheid van incidenten. Bij cloud applicaties (SAAS) ben je een van de vele klanten in de rij en kun je alleen afwachten en hopen dat de dienst weer snel beschikbaar wordt.

Ook al loop je met je hoofd in de cloud, let ook op de aardse zaken.

Permalink Geef een reactie

Geen contant geld meer?

februari 11, 2010 at 10:02 pm (Columns, Privacy, Techniek) (, )

De consumentenbond roept en Telfort doet – contant geld verdwijnt. Ondanks de lachwekkende complottheoriën die je aan een dergelijk bericht kunt ophangen wil ik hier wel op ingaan.

Het opheffen van de mogelijkheid tot contante betaling is in wezen een grote aanslag op de privacy. Door de geavanceerde kassystemen met automatische voorraadcontrole en het register van elektronische betalingen waar banken over beschikken (en daar mee de overheid – tegenwoordig zelfs letterlijk) is het steeds eenvoudiger om te zien waar iemand zijn geld aan heeft uitgegeven. Dit was natuurlijk al mogelijk met behulp van de RFID chips in de bankbiljetten, de gelduitgifte automaten en de pinpas combinatie, maar het wordt zonder contant geld veel eenvoudiger om iemand te volgen.

Het eerste dat bij mij opkomt is dat de ruilhandel het goed zal gaan doen. Wie onder de radar van de overheid wil blijven zal moeten ruilen om in leven te blijven. Een winkeloverval levert namelijk geen geld meer op – een prettige bijkomstigheid van het voorstel. Keerzijde is wel dat overvallen op woningen of voorbijgangers (waar waardevolle te ruilen artikelen te vinden zijn) vaker zullen voorkomen. Daarnaast wordt het betaalsysteem wel bijzonder kwetsbaar. Bij stroomstoringen is er geen alternatieve betaalwijze meer als de kassa’s zijn uitgevallen (vooropgesteld dat er nog cassières zijn die kunnen rekenen). Op eenvoudige wijze kunnen kwaadwillende sujetten de economie stilleggen, zeker een handelsnatie als Nederland kan lijden onder een grote storing in het betalingsverkeer.

In de praktijk zal blijken dat fysiek geld blijft bestaan, al was het maar voor het muntje in de winkelwagen, voor de Straatkrant of de kroket uit de muur. Voor microbetalingen in winkels hebben we de chipknip, voor de rest een pinpas of creditcard.

Zul je net zien, heeft de overheid een bank gekocht, gaan ze het geld afschaffen. Dat is pas kapitaalvernietiging!

Permalink Geef een reactie

Jericho in een kokosnoot met uien

februari 8, 2010 at 5:47 pm (Oplossingen, Techniek) (, , , )

We hebben al geruime tijd (sinds de middeleeuwen) het kokosnoot model voor beveiliging. Daarbij hoort een harde buitenkant (kasteelmuur, stadswallen, firewall) met een zachte binnenkant. Zo worden de waardevolle zaken (het serverpark, de bedrijfsgegevens) met veel maatregelen afgeschermd van de buitenwereld (het Internet). In moderne organisaties kom je nog wel eens het uienmodel tegen, dat is een minder geslaagde vorm van gelaagde beveiliging – bij iedere laag die je afpelt gaan je ogen erger tranen. Zij hebben hun best gedaan, maar zonder goed na te denken over de correcte uitvoering van het geheel.

Het principe van gelaagde beveiliging – meerdere ongelijksoortige beveiligingslagen achter elkaar – is wel goed, maar op zichzelf tegenwoordig onvoldoende om schade door informatieverlies te voorkomen. Tot slot het Jericho-model, dat als uitgangspunt heeft dat alle verdedigingswerken kunnen worden geslecht: de IT omgeving wordt hybride, binnen wordt buiten en buiten komt binnen. Alleen de belangrijke gegevens worden beschermd: ‘protect the data’.

In mijn optiek wil je een combinatie van de drie modellen. Dat doe je door een robuuste gelaagde beveiliging op te bouwen, die niet eenvoudig is af te pellen. De gevoelige of vertrouwelijke informatie voorzie je van aanvullende beveiligingsmaatregelen. Zo beveilig je niet meer dan nodig en verminder je het risico op gegevensverlies of imagoschade aanzienlijk.

Het principe van dataclustering bestaat al een tijd, maar omdat het complex is om op te zetten gebeurt het maar zelden. Bij het Jericho-model gaat men uit van data-tagging. Dat wordt ook door het College Bescherming Persoonsgegevens aangewezen als een manier om vertrouwelijke informatie te herkennen.

Een gelijkwaardig resultaat met minder inspanning vanuit de organisatie kan worden bereikt door de servers of databases met vertrouwelijke informatie te clusteren. Door hier extra toegangscontrole op te zetten wordt hetzelfde resultaat bereikt – toegang tot vertrouwelijke informatie op ‘need to know’ basis. Voordeel van deze methode is dat het geen opdruk op de organisatie geeft (opvoeden van gebruikers voor het gebruik van tagging, beheer helpdesk, etc.).

Permalink Geef een reactie

Toezicht op EPD moeilijk?

februari 7, 2010 at 10:42 pm (Columns, Oplossingen, Privacy) (, , , )

Sinds de invoering van het Elektronisch Patiëntendossier (EPD) is er veel gedoe geweest rondom de borging van de privacy. Die leek namelijk op voorhand al niet gegarandeerd of waterdicht. Naar nu blijkt mogen er wel heel veel mensen kijken in het dossier, zolang de patiënt daar geen bezwaar tegen maakt. De standaard instelling is “iedereen mag kijken”. Hetgeen in in tegenstelling is tot een best-practice voor vertrouwelijke informatie, die normaal gesproken alleen op “need-to-know” basis toegankelijk is. Dit betreft niet alleen de directe zorgverleners , maar ook hun assistenten, en collega’s die gevraagd worden naar hun visie. Dat is nog wel verklaarbaar, maar ik het er meer moeite mee dat de secretariële ondersteuning, de functionele beheerders van het feitelijke dossier en de financiële afdeling ook inzage hebben in de patiëntendossiers. Dat kun je nauwelijks meer proportioneel noemen.

Aan deze ruimhartige toekenning van inkijkrechten is geen streng toezicht gekoppeld. In tegendeel, controle vindt alleen achteraf plaats. Maar omdat voor elke inzage in een dossier een registratieregel wordt geschreven levert dat onnoemelijk veel werk op. De mogelijke verantwoordelijke afdelingen van het ministerie van VWS (IGZ, NICTIZ) zijn, net als het CBP, te klein om deze taak naar behoren uit te kunnen voeren. De enige garantie tegen misbruik is het ethisch normbesef dat alle gebruikers moet het EPD moeten hebben. Wat je ook volgens het CBP niet erg goed kunt noemen.

Er is wel een manier om misbruik aan te tonen. Iedere burger heeft volgens de Wet bescherming persoonsgegevens het recht te weten wat er over hem is vastgelegd en wie zijn medische gegevens heeft geraadpleegd.

De bal ligt nu bij ons.

Permalink Geef een reactie

3 Setjes wachtwoorden

februari 5, 2010 at 9:29 am (Columns, Privacy, Techniek) (, , , , )

“Gebruik van wachtwoorden is ouderwets!”, stelt een Franse staatssecretaris. “Iedereen een certificaat! Dat is pas veilig!”. Deze ambtenaar werd onvolledig geïnformeerd, ook een certificaat moet je beschermen met een wachtwoord. Dat noemen we two-factor authentication. Certificaten kunnen wel veilig zijn, mits goed toegepast. Datzelfde geldt voor wachtwoorden. Uit onderzoek blijkt dat mensen hun wachtwoorden en gebruikersnaam van bijvoorbeeld internetbankieren hergebruiken voor allerlei andere (minder beveiligde) websites. Dat vormt een risico voor deze gebruikers, omdat een aanvaller die op de ene site de gegevens heeft achterhaald, deze op andere plaatsen kan hergebruiken.

Een betere manier om veilig met wachtwoorden om te gaan is er drie setjes op na te houden. De eerste combinatie van gebruikersnaam en wachtwoord gebruik je voor internetbankieren, de tweede combinatie voor je webmail en profielsites (hyves, linkedin) en de derde combinatie gebruik je voor al die onzinnige websites waar je toch moet inloggen om mee te kunnen kletsen op het forum.

Als je een certificaat van de overheid of je bank krijgt, kies dan een apart wachtwoord dat niet in je combinaties voorkomt.

Permalink Geef een reactie

Strooizout en calamiteitenkoffers

februari 4, 2010 at 11:31 am (Uncategorized) ()

Iedereen die goed is ingevoerd in Business Continuity Management (BCM) kent het fenomeen van de calamiteitenkoffer. Voor de niet-ingewijden, dat is een voorraadje spullen die je nodig hebt om je werkzaamheden rond de bestrijding van de calamiteit te vergemakkelijken. Je kunt het wel vergelijken met de voorraad eikels van een eekhoorn.

Een typische BCM koffer bevat wat schrijfgerei, snoepjes, limonade, communicatiespullen zoals mobiele telefoons (met lader!) en andere onmisbare zaken. Een probleem waar je met het beheer van je BCM plan en -koffer tegenaan loopt, is de vraag hoe je moet omgaan met de beperkt houdbare zaken, zoals de etenswaar en limonade in je koffer. Je kunt het als een voorraad beschouwen die je aanvult als je iets (of alles) hebt verbruikt. Je neemt dan het risico dat je voorraad is uitgeput als zich een calamiteit voordoet.

Vergelijk het met het strooizout-tekort in de winter van 2009-2010, dat zich voordeed op verschillende plaatsen in Nederland. Daar is het voorraadje zout verbruikt en niet op tijd aangevuld. Er zijn vast wel goede redenen voor te verzinnen (te duur, wanneer sneeuwt het nu in Nederland?, de aarde warmt toch op?) maar het is wel een beetje dom.

Je BCM koffer vul je daarom beter eerst aan en daarna maak je gebruik van de artikelen waarvan de verbruiksdatum bijna is verstreken.

Misschien had de gemeente wel strooizout in zijn koffer moeten hebben.

Permalink Geef een reactie