Cyberaanvallen ING inleiding faillissement Online Dienstverlening

Posted on April 12, 2013 by Johan Vermij

Foto ANP

Ruim een week geleden schudde Nederland op zijn grondvesten. Er was iets misgegaan bij de verwerking van een bestand waardoor de klanten van de ING verkeerde saldo informatie kregen. Maar daarna begonnen de problemen pas echt. Er zijn tenminste vier cyberaanvallen uitgevoerd op de ING, maar het lijkt alsof we ons om het laatste minder zorgen maken. Wij zijn vooral boos omdat de bank haar digitale zaakjes niet op orde heeft.

Hoewel de aanvallen zich nu toespitsen op de ING zijn ook de betalingsdienst iDeal en andere banken getroffen door een of meerdere DDoS aanvallen waarbij er zoveel verkeer gegenereerd wordt dat de servers het aantal aanvragen niet meer aankunnen en daardoor stilgelegd worden. Het is dus geen echte inbraak. Dus waar maken we ons druk over?

Voor ons als consumenten is zo’n DDoS aanval alleen maar lastig. We kunnen niet altijd inloggen, en onze overboekingen moeten we maar even uitstellen. Voor de detailhandel is het meer dan lastig. Zo stelde de branchevereniging Thuiswinkel.org deze week dat de online winkels door de cyberaanvallen op de ING tientallen miljoenen euro’s schade lijden. Voormalig commandant der strijdkrachten Dick Berlijn voorspelt dat we in de toekomst meer van dit type aanvallen kunnen verwachten en volgt er een top tussen de ministers Opstelten van Justitie en Dijsselbloem van Financiën.

Oppervlakkig bekeken zijn de aanvallen alleen maar lastig, maar als we dieper kijken naar de oorzaken dient de vraag zich aan wat wij als consument belangrijker vinden: Betrouwbare real time saldo informatie of een betrouwbare portemonnee. De cyberaanvallen van deze week tonen aan dat de IT infrastructuur van banken zeer kwetsbaar is.

Deels is dit het directe gevolg van de financiële crisis waarbij in 2008 en 2009 veel projecten bij banken zijn stilgelegd. Nog steeds wordt er bij projecten vooral naar het rendement gekeken, en niet naar de veiligheid omdat dit een kostenpost lijkt te zijn. In het Business Continuity Management ligt de nadruk vooral nog op de interne beschikbaarheid van systemen terwijl de focus juist bij externe bedreigingen moet liggen. Vanwege de bezuinigingen worden steeds meer diensten online aangeboden terwijl de infrastructuur van de banken hier niet klaar voor is. Tal van bedrijf kritische applicaties bij de banken draaien op ‘legacy systemen’. Oude mainframes met minder capaciteit dat onze nieuwste smartphones vormen de ruggengraat van onze online economie, waarbij programma’s geschreven in archaïsche programmeertalen het betalingsverkeer regelen. Deze systemen en programmeertalen zijn niet berekend op de huidige toepassingen. De financiële sector is daarmee een makkelijk doelwit voor cyberaanvallen. Niet alleen in Nederland, maar wereldwijd zien we de laatste maanden aanvallen op banken. Zo werden onlangs nog de Koreaanse banken lamgelegd en deze maand werd bekend dat Amerikaanse banken in 2012 maar liefst 249 uur onbereikbaar waren door DDoS aanvallen. banken Ondanks het feit dat er niet daadwerkelijk ‘íngebroken’ is bij de banken loopt de schade in de miljarden. Ook deze maand werd bekend dat hackers ruim 200 miljoen euro buitgemaakt hebben bij aanvallen op Russische

Moeten wij als consument in plaats van meer online diensten en digitaal gemak niet meer gaan vragen om veilige dienstverlening? Moeten wij eisen dat de banksector de miljardenwinsten investeert om de IT infrastructuur up to date te brengen? Het lijkt vechten tegen de bierkaai. Er worden al tonnen geïnvesteerd in zwaardere beveiligingsmethoden. Zonder veel succes overigens, want een half jaar later zit dezelfde rekencapaciteit in een laptop van 500 Euro en kan iedere puber ook deze beveiliging weer kraken.

De strijd op het internet lijkt een eindeloze wapenwedloop te worden die wij gaan verliezen. Het echte probleem zit veel dieper. Het zit in de aderen van het internet zelf. Net als bij de banken draait het internet zelf op systemen die in de jaren 70 ontworpen zijn en de uitwisseling van gegevens wordt gedaan door protocollen uit de jaren 70. In het ontwerp van het internet gaat het om de vrije uitwisseling van informatie tussen een klein groepje mensen die elkaar kennen en vertrouwen. Er was geen noodzaak om na te denken over beveiliging en het identificeren van gebruikers.

Nu het internet door miljarden mensen wereldwijd gebruikt wordt en wij steeds meer ons leven online organiseren lopen we tegen de grenzen van het vrije internet aan. Langzamerhand moeten we de conclusie trekken dat het internet niet veilig genoeg is om onze financiële transacties af te handelen, dat het onvoldoende mogelijkheden heeft om ons intellectueel eigendom te beschermen en wij ons digitale leven er niet zeker zijn.

Internet Regulering Ja of Nee? (Deel 2)

Posted on December 10, 2012 by Johan Vermij

Geen consensus: geen regulering. Dan maar censuur?

In het vorige artikel, het eerste artikel over “Internet Regulering Ja of Nee?” eindigde ik met de stelling dat, nu alles aan het internet gekoppeld wordt, de vraag om regulering het niveau van individuele zakelijke belangen ontstegen is en het een nationale aangelegenheid geworden. Het probleem is natuurlijk dat we niet te maken hebben met een nationaal internet, maar een international netwerk dat niet onder één vlag vaart. In deze situatie is regulering alleen haalbaar als er een universele consensus is over het onderwerp. Zoals bijvoorbeeld Kinderporno. De hele wereld is hier op tegen, dus regulering is haalbaar. Als het over online casino’s gaat is het een heel ander verhaal. Wetgeving over gokken verschilt van land tot land en zal er geen internationale regulering afgedwongen kunnen worden.

Overizcht Internetcensuur

Wanneer er geen internationale consensus is en er dus geen regulerende maatregelen getroffen worden rest er niets anders dan het toepassen van censuur als je als land toch die informatie buiten de deur wilt houden. Denk hierbij bijvoorbeeld aan de strengislamitische landen die afbeeldingen van vrouwen uit de zoekresultaten weren, Zuid Korea dat alle nieuws uit Noord Korea filtert of de bekende ‘Great Firewall of China’. In de westerse wereld zijn wij sterk tegen censuur omdat het een inbreuk is op ons recht van vrije meningsuiting. Toch is het maar een dunne scheidslijn. In Nederland vinden wij censuur van Kinderporno geen probleem omdat wij het er over eens zijn dat dit niet hoort. Waarom vinden wij het dan verwerpelijk als een Islamitisch land alle porno censureert omdat men daar vindt dat dit verwerpelijk is?

Compliancy ontoereikend

In allerlei compliancy eisen die tegenwoordig gesteld worden aan overheidsorganisaties en banken zien we daarom ook steeds meer eisen ten aanzien van waar de data opgeslagen wordt. In die compliancy eisen of lokaliteit proberen de overheden de betreffende data ook onder het Nationaal recht te krijgen. Met de antiterrorisme wetgeving (Patriot Act) gaat Amerika natuurlijk nog een stuk verder en proberen ze hun neus in alle data te steken, tot en met de inzage in het EPD (Elektronisch Patiënten Dossier) aan toe. We zien dat deze compliancy eisen in veel gevallen nog te weinig resultaat bieden en zien we diverse landen steeds vaker een voorstel doen om het internet te nationaliseren.

WCIT-12

Van 3 tot 14 december 2012 wordt in Dubai het jaarlijkse congres van de ITU gehouden. De ITU bestaat al zo’n 150 jaar en is opgericht om toe te zien op de internationale Telecom standaarden. Het belangrijkste agendapunt van deze summit is de eerste herziening van de International Telecommunications Regulations (ITRs): regels voor de telecomsector, sinds 1988, maar vooraf was er al enige speculatie of landen dit congres zouden aangrijpen om de controle over het internet te grijpen.

“Een aantal partijen grijpen WCIT12 aan om ook het internet onder het gezag van ITU te krijgen. Of correcter, via ITU de macht naar zichzelf te halen. Rusland heeft te elfder ure een uiterst omstreden voorstel in geschoten die nationale overheden de macht geeft over internetverkeer. Daarnaast willen Europese telecombedrijven een internettolweg aanleggen waar de afzender (de content- of dienstenaanbieder) moet betalen voor gegarandeerde doorgifte van data.” aldus Webwereld.

wcit-2012 - ITU/Flickr

De voorzitter van de ITU, Hamadoun Touré, ontkent ten stelligste dat de ITU een internetcoupe plant: “iedere bewering dat de VN uit is op het in handen nemen van de touwtjes van het internet “compleet onwaar” is. In plaats daarvan wil de VN de fluwelen handschoen aantrekken om daar waar nodig “lichte maatregelen” te treffen”, aldus Computerworld

Het Russische voorstel is te vinden op de website van WCIT Leaks. Hoewel de Verenigde Staten een sterke voorstander van regulering zijn, schoot dit voorstel ze in het verkeerde keelgat en resulteerde dit in een zeer bijzondere unanieme afwijzing door het Huis van Afgevaardigden van elk voorstel dat de ITU hierover zou doen.

De tegenstand van Amerika tegen deze nationalisatie heeft natuurlijk economische gronden, met internet giganten als Google en Facebook binnen de landsgrenzen. Hoewel ze het formeel iets anders (dwz politiek correct) formuleren

“Omdat dit ‘s werelds voornaamste contentproviders zijn, zou een dergelijke regeling betekenen dat de Verenigde Staten andere landen moeten gaan betalen om de content wereldwijd verspreid te krijgen”, aldus Computerworld

Tot zover is er niets nieuws onder de zon. Alle voorstellen met betrekking tot regulering lijken nog steeds ingegeven om nationale wetgeving af te dwingen op het internet of het beschermen van economische belangen. Hierin verschilt de discussie nog steeds niet van de aloude DRM discussie uit de eerste jaren van deze eeuw. Zolang er geen wereldwijde consensus is, is die regulering een utopie. Ik ga er dan ook niet vanuit dat er zich deze week een werkelijke internet-coup voltrekt. Er zijn echter andere ontwikkelingen die wel om regulering lijken te vragen, maar het vertrekpunt moet wezenlijk anders zijn. Daarover in een volgend artikel.

DRM is misdaad tegen de menselijkheid

Posted on December 6, 2012 by Johan Vermij

Zo kopte de column van Bert Brussen in de Webwereld vandaag. Hierbij moest ik me toch even achter de oren krabben of ik hem daar nu gelijk in moet geven. Ik ga het niet doen. Ik ga een lans breken voor DRM:

DRM is niet een misdaad tegen de menselijkheid,
maar DRM is de redding van de menselijkheid.

Wat is DRM?

Napster DRM staat voor Digital Rights Management, het op een of andere manier aan films en muziek meegeven van een code zodat illegale downloads getraceerd kunnen worden, een digitaal auteursrecht of intellectueel eigendomskenmerk en in de entertainment industrie is het al een heet hangijzer sinds eind jaren negentig. In die jaren kwam het peer to peer delen van muziek en films op gang door sites als Napster en de gigantische platenindustrie zag miljarden verdampen. Tot op de dag van vandaag jaagt de platenindustrie en Hollywood tevergeefs het verbod op downloaden na.

Wij Nederlanders zijn als vrijgevochten volkje ook sterk tegen inperking van onze downloadvrijheden en deze week sneuvelde dan ook wederom een voorstel downloadverbod voor particulieren in de 2e kamer.

DRM is afzetterij

Dit is de context waarin we over het algemeen tegen DRM aan kijken. En dan kan ik er in mee gaan, want DRM staat hiermee bijna synoniem voor afzetterij. Er zijn vele onderzoeken geweest die aantonen dat de gemiddelde gebruiker best wel wat wil betalen voor een goede film of briljant muziek album. Maar dan niet aan de platenmaatschappijen maar aan de artiest zelf.

Zolangzamerhand winnen dan ook betaalde muziekdiensten als de Apple iTunes store en Spotify langzaam terrein.

Een must-read voor iedereen die iets wil lezen over deze hopeloze strijd van de met miljarden smijtende entertainment industrie versus de internet cowboys van Napster en The Pirate Bay moet het boek de “Starfish and the Spider” lezen van Rod Beckstrom.

DRM is je Pensioenfonds.

Zoals gezegd, wil ik een lans breken voor DRM. HJe kunt het namelijk ook van de andere kant bekijken. DRM is je pensioenfonds. De laatste jaren zien we steeds vaker dat ideeën gepersonaliseerd worden. We bedenken niet meer dingen ‘als bedrijf’ en we hebben geen ‘bedrijfsvisie’ meer, maar steeds meer gaan wij als individu op de zeepkist staan en delen we onze ideeën met de wereld via blogs en andere sociale media.

Langzamerhand gaan we ons beseffen dat wij een bijdrage leveren aan het intellectueel eigendom van het bedrijf waar we werken en willen we daar zelf recht op houden. Je wilt zien waar jouw tekening afgedrukt wordt, waar jouw tekst gepubliceerd, en checken of het een nette quote is of een als plagiaat overgeschreven is.

De kennis die wij hebben wordt steeds waardevoller in deze kenniseconomie. Die kennis wordt steeds beter quantificeerbaar, maar steeds minder traceerbaar. De kennis verdwijnt in de grote databanken, de Cloud, Big Data concepten en wij zijn het kwijt. Voor je het weet verdient iemand aan de andere kant van de wereld miljoenen met een filmpitch die jij bedacht hebt en ergens een keer half getweet hebt.

Vooralsnog zijn er nogal wat kanttekeningen te plaatsen bij de veiligheid van Cloud diensten, en veel bedrijven zien er nog van af vanwege allerlei compliancy eisen omdat juist de veiligheid van de gegevens niet gewaarborgd kan worden. Een sleutel tot de definitieve Big Data en Cloudcomputing doorbraak ligt hem nou juist in een vorm van DRM waarin jij controle hebt over jouw kennis. DRM bewaakt dan de waarde van jouw ideeën en daarmee wordt het je pensioen.

Uitspraak Hoge Raad in de Runescape zaak

Posted on January 31, 2012 by Johan Vermij

(English Summary Below)

Op dit blog probeer ik zo nu en dan mijn gedachten over privacy, cyber criminaliteit en de toekomst van het internet weer te geven. Dat beperkt zich vaak tot de grote opvallende dingen, maar deze keer wil ik toch een pietepeuterig dingetje er uit lichten, namelijk de uitspraak van de Hoge Raad in de Runescape zaak.

In de periode 2006-2009 heb ik veel geblogd over virtuele werelden en in 2008 speelde deze zaak, die in de blogosphere nogal wat aandacht trok, waarbij een stel pubers een 13 jarige jongen bedreigden en een aantal virtuele items uit het spel Runescape buitmaakten. Op 21 oktober 2008 deed het gerechtshof in Leeuwarden een uitspraak waar ik op mijn oude blog een artikeltje aan wijdde. Vandaag heeft de Hoge Raad een uitspraak in deze zaak gedaan. De uitspraak is geen verassing, maar een bekrachtiging van de uitspraak in 2008;

“Virtueel amulet en masker in het online spel Runescape kunnen worden aangemerkt als ‘goed’ in de zin van art. 310 Sr en zijn vatbaar voor diefstal. “

De Hoge Raad heeft nu dus bevestigd dat virtuele goederen, zoals die in computerspellen en virtuele werelden hetzelfde bejegend dienen te worden als materiële bezittingen. De uitspraak is nu definitief, maar de interessante discussie begint nu pas. Hieruit volgt dat je dus met een virtuele, digitale identiteit bezit kunt opbouwen en wordt de vraag actueel wat er met deze bezittingen gebeurd na je dood. Kunnen ze onderdeel uitmaken van een erfenis? Aan wie vervalt het eigendom? Gaat de waarde van het virtuele bezit meetellen voor de bepaling van de hoogte van alimentatie? Dezelfde vragen gelden in min of meerdere mate voor blogs, voor Facebook profielen.

Wat zou moeten volgen uit deze uitspraak is dat veel wetgeving herzien moet worden, gemoderniseerd moet worden om bezit en intellectueel eigendom en de bescherming van digitale identiteit. Deze vragen speelden 4 jaar geleden ook al, maar helaas is de wetgeving nog steeds niet klaar voor in toenemende mate digitaal geëngageerde wereld.

English:

Today the Dutch Supreme Court confirmed a 2008 ruling of a lower court in the Runescape Case. Back in 2008 this was quite a controversial trial as it was the first ruling which declared virtual goods as on the same level as material goods. On my old Mindblizzard blog I discussed the 2008 ruling (in English). The case was about two teenagers who coerced a13 year old in order to gain an amulet and talisman in the Runescape game. Now, 3.5 years later the Supreme Court has confirmed this is actual theft.

Almost 4 years ago I was blogging virtual worlds on the MindBlizzard, and now, on this blog it’s about privacy and security. To me, this case has a little bit of both. With this ruling virtual goods will be protected under law, but it raises a whole new discussion. Apparently one can create a virtual identity and acquire posessions with this identity. But what happens after you die? Can someone inherit the goods, or the represented value? Will the value be taken into account for instance in determining the height of alimony? The same counts more or less for blogs and Facebook accounts.

Today’s ruling is almost 4 years after the original verdict, yet the laws haven’t changed yet and the discussion needs to continue as it asks for a revision of many laws on intellectual property and the protection of the digital identity. The law still is not ready for today’s world of growing digital engagement.