Cyberaanvallen ING inleiding faillissement Online Dienstverlening

DDoS aanval op ING

Foto ANP

Ruim een week geleden schudde Nederland op zijn grondvesten. Er was iets misgegaan bij  de verwerking van een bestand waardoor de klanten van de ING verkeerde saldo informatie kregen. Maar daarna begonnen de problemen pas echt. Er zijn tenminste vier cyberaanvallen uitgevoerd op de ING, maar het lijkt alsof we ons om het laatste minder zorgen maken. Wij zijn vooral boos omdat de bank haar digitale zaakjes niet op orde heeft.

Hoewel de aanvallen zich nu toespitsen op de ING zijn ook de betalingsdienst iDeal en andere banken getroffen door een of meerdere DDoS aanvallen waarbij er zoveel verkeer gegenereerd wordt dat de servers het aantal aanvragen niet meer aankunnen en daardoor stilgelegd worden. Het is dus geen echte inbraak. Dus waar maken we ons druk over?

Voor ons als consumenten is zo’n DDoS aanval alleen maar lastig. We kunnen niet altijd inloggen, en onze overboekingen moeten we maar even uitstellen. Voor de detailhandel is het meer dan lastig. Zo stelde de branchevereniging Thuiswinkel.org deze week dat de online winkels door de cyberaanvallen op de ING tientallen miljoenen euro’s schade lijden. Voormalig commandant der strijdkrachten Dick Berlijn voorspelt dat we in de toekomst meer van dit type aanvallen kunnen verwachten en volgt er een top tussen de ministers Opstelten van Justitie en Dijsselbloem van Financiën.

Oppervlakkig bekeken zijn de aanvallen alleen maar lastig, maar als we dieper kijken naar de oorzaken dient de vraag zich aan wat wij als consument belangrijker vinden: Betrouwbare real time saldo informatie of een betrouwbare portemonnee. De cyberaanvallen van deze week tonen aan dat de IT infrastructuur van banken zeer kwetsbaar is.

Deels is dit het directe gevolg van de financiële crisis waarbij in 2008 en 2009 veel projecten bij banken zijn stilgelegd. Nog steeds wordt er bij projecten vooral naar het rendement gekeken, en niet naar de veiligheid omdat dit een kostenpost lijkt te zijn. In het Business Continuity Management ligt de nadruk vooral nog op de interne beschikbaarheid van systemen terwijl de focus juist bij externe bedreigingen moet liggen. Vanwege de bezuinigingen worden steeds meer diensten online aangeboden terwijl de infrastructuur van de banken hier niet klaar voor is. Tal van bedrijf kritische applicaties bij de banken draaien op ‘legacy systemen’. Oude mainframes met minder capaciteit dat onze nieuwste smartphones vormen de ruggengraat van onze online economie, waarbij programma’s geschreven in archaïsche programmeertalen het betalingsverkeer regelen. Deze systemen en programmeertalen zijn niet berekend op de huidige toepassingen. De financiële sector is daarmee een makkelijk doelwit voor cyberaanvallen. Niet alleen in Nederland, maar wereldwijd zien we de laatste maanden aanvallen op banken. Zo werden onlangs nog de Koreaanse banken lamgelegd en deze maand werd bekend dat Amerikaanse banken in 2012 maar liefst 249 uur onbereikbaar waren door DDoS aanvallen. banken Ondanks het feit dat er niet daadwerkelijk ‘íngebroken’ is bij de banken loopt de schade in de miljarden. Ook deze maand werd bekend dat hackers ruim 200 miljoen euro buitgemaakt hebben bij aanvallen op Russische

Moeten wij als consument in plaats van meer online diensten en digitaal gemak niet meer gaan vragen om veilige dienstverlening? Moeten wij eisen dat de banksector de miljardenwinsten investeert om de IT infrastructuur up to date te brengen? Het lijkt vechten tegen de bierkaai. Er worden al tonnen geïnvesteerd in zwaardere beveiligingsmethoden. Zonder veel succes overigens, want een half jaar later zit dezelfde rekencapaciteit in een laptop van 500 Euro en kan iedere puber ook deze beveiliging weer kraken.

De strijd op het internet lijkt een eindeloze wapenwedloop te worden die wij gaan verliezen. Het echte probleem zit veel dieper. Het zit in de aderen van het internet zelf. Net als bij de banken draait het internet zelf op systemen die in de jaren 70 ontworpen zijn en de uitwisseling van gegevens wordt gedaan door protocollen uit de jaren 70. In het ontwerp van het internet gaat het om de vrije uitwisseling van informatie tussen een klein groepje mensen die elkaar kennen en vertrouwen. Er was geen noodzaak om na te denken over beveiliging en het identificeren van gebruikers.

Nu het internet door miljarden mensen wereldwijd gebruikt wordt en wij steeds meer ons leven online organiseren lopen we tegen de grenzen van het vrije internet aan. Langzamerhand moeten we de conclusie trekken dat het internet niet veilig genoeg is om onze financiële transacties af te handelen, dat het onvoldoende mogelijkheden heeft om ons intellectueel eigendom te beschermen en wij ons digitale leven er niet zeker zijn.

Internet Regulering Ja of Nee? (Deel 2)

Geen consensus: geen regulering. Dan maar censuur?

In het vorige artikel, het eerste artikel over “Internet Regulering Ja of Nee?” eindigde ik met de stelling dat, nu alles aan het internet gekoppeld wordt, de vraag om regulering het niveau van individuele zakelijke belangen ontstegen is en het een nationale aangelegenheid geworden. Het probleem is natuurlijk dat we niet te maken hebben met een nationaal internet, maar een international netwerk dat niet onder één vlag vaart. In deze situatie is regulering alleen haalbaar als er een universele consensus is over het onderwerp. Zoals bijvoorbeeld Kinderporno. De hele wereld is hier op tegen, dus regulering is haalbaar. Als het over online casino’s gaat is het een heel ander verhaal. Wetgeving over gokken verschilt van land tot land en zal er geen internationale regulering afgedwongen kunnen worden.

Overizcht Internetcensuur

Wanneer er geen internationale consensus is en er dus geen regulerende maatregelen getroffen worden rest er niets anders dan het toepassen van censuur als je als land toch die informatie buiten de deur wilt houden. Denk hierbij bijvoorbeeld aan de strengislamitische landen die afbeeldingen van vrouwen uit de zoekresultaten weren, Zuid Korea dat alle nieuws uit Noord Korea filtert of de bekende ‘Great Firewall of China’. In de westerse wereld zijn wij sterk tegen censuur omdat het een inbreuk is op ons recht van vrije meningsuiting. Toch is het maar een dunne scheidslijn. In Nederland vinden wij censuur van Kinderporno geen probleem omdat wij het er over eens zijn dat dit niet hoort. Waarom vinden wij het dan verwerpelijk als een Islamitisch land alle porno censureert omdat men daar vindt dat dit verwerpelijk is?

Compliancy ontoereikend

In allerlei compliancy eisen die tegenwoordig gesteld worden aan overheidsorganisaties en banken zien we daarom ook steeds meer eisen ten aanzien van waar de data opgeslagen wordt. In die compliancy eisen of lokaliteit proberen de overheden de betreffende data ook onder het Nationaal recht te krijgen. Met de antiterrorisme wetgeving (Patriot Act) gaat Amerika natuurlijk nog een stuk verder en proberen ze hun neus in alle data te steken, tot en met de inzage in het EPD (Elektronisch Patiënten Dossier) aan toe. We zien dat deze compliancy eisen in veel gevallen nog te weinig resultaat bieden en zien we diverse landen steeds vaker een voorstel doen om het internet te nationaliseren.

WCIT-12

Van 3 tot 14 december 2012 wordt in Dubai het jaarlijkse congres van de ITU gehouden. De ITU bestaat al zo’n 150 jaar en is opgericht om toe te zien op de internationale Telecom standaarden. Het belangrijkste agendapunt van deze summit is de eerste herziening van de International Telecommunications Regulations (ITRs): regels voor de telecomsector, sinds 1988, maar vooraf was er al enige speculatie of landen dit congres zouden aangrijpen om de controle over het internet te grijpen.

“Een aantal partijen grijpen WCIT12 aan om ook het internet onder het gezag van ITU te krijgen. Of correcter, via ITU de macht naar zichzelf te halen. Rusland heeft te elfder ure een uiterst omstreden voorstel in geschoten die nationale overheden de macht geeft over internetverkeer. Daarnaast willen Europese telecombedrijven een internettolweg aanleggen waar de afzender (de content- of dienstenaanbieder) moet betalen voor gegarandeerde doorgifte van data.” aldus Webwereld.

wcit-2012 - ITU/Flickr

De voorzitter van de ITU, Hamadoun Touré, ontkent ten stelligste dat de ITU een internetcoupe plant: “iedere bewering dat de VN uit is op het in handen nemen van de touwtjes van het internet “compleet onwaar” is. In plaats daarvan wil de VN de fluwelen handschoen aantrekken om daar waar nodig “lichte maatregelen” te treffen”, aldus Computerworld

Het Russische voorstel is te vinden op de website van WCIT Leaks. Hoewel de Verenigde Staten een sterke voorstander van regulering zijn, schoot dit voorstel ze in het verkeerde keelgat en resulteerde dit in een zeer bijzondere unanieme afwijzing door het Huis van Afgevaardigden  van elk voorstel dat de ITU hierover zou doen.

De tegenstand van Amerika tegen deze nationalisatie heeft natuurlijk economische gronden, met internet giganten als Google en Facebook binnen de landsgrenzen. Hoewel ze het formeel iets anders (dwz politiek correct) formuleren

“Omdat dit ‘s werelds voornaamste contentproviders zijn, zou een dergelijke regeling betekenen dat de Verenigde Staten andere landen moeten gaan betalen om de content wereldwijd verspreid te krijgen”, aldus Computerworld

Tot zover is er niets nieuws onder de zon. Alle voorstellen met betrekking tot regulering lijken nog steeds ingegeven om nationale wetgeving af te dwingen op het internet of het beschermen van economische belangen. Hierin verschilt de discussie nog steeds niet van de aloude DRM discussie uit de eerste jaren van deze eeuw. Zolang er geen wereldwijde consensus is, is die regulering een utopie. Ik ga er dan ook niet vanuit dat er zich deze week een werkelijke internet-coup voltrekt. Er zijn echter andere ontwikkelingen die wel om regulering lijken te vragen, maar het vertrekpunt moet wezenlijk anders zijn. Daarover in een volgend artikel.

Cybersecurity Strategie: Den Haag vs. Davos

DEN HAAG – Debat Nationale Cybersecurity Strategie

Gisteren werd er in de tweede kamer een vermakelijk debat gevoerd over de voortgang Nationale Cybersecurity Strategie. Niet gehinderd door enige kennis van zaken werd er honderuit gekletst over agendapunten als “beveiligingslekken in Internet Explorer”.

2ekamer

Natuurlijk stonden er ook relevante onderwerpen op de agenda, maar het totaalbeeld van het debat biedt weinig hoop voor een veilige digitale toekomst. Met alle goede bedoelingen, de heren (en dames) politici weten van hoed noch rand op het gebied van security en privacy. Toch nog maar weer eens een lans breken voor een Politieke CTO. Iedere partij zou er een moeten hebben om de politici bij te praten over de zaken die in dit domein echt belangrijk zijn.

DAVOS – Partnering for Cyber Resilience

Een paar honderd kilometer verderop werd in Davos grover geschut ingezet. CEO’s van grote bedrijven en academici van all over the world kwamen hier samen om een partnership aan te gaan in de strijd tegen Cyber Terrorisme, of zoals de projectleider van Deloitte het verwoordt:

Als hackers en andere kwaadwillenden intensief samenwerken moeten CEO’s, politici en andere belangrijke beslissers dat ook doen om zich te wapenen tegen de cyberbedreigingen.

Het Partnering for Cyber Resilience is een gezamenlijk initiatief van Deloitte en het World Economic Forum (vandaar Davos). Het grote verschil met het debat in Den Haag is dat dat het niet over trivialiteiten gaat maar over een wezenlijke mentaliteitsverandering ten aanzien van Cyber Security en het aangaan van een commitment op directie niveau. Het brengt Security Awareness naar de directietafel.

‘Cyberaanvallen binnen twee jaar grootste bedrijfsrisico’

AMSTERDAM – Cyberaanvallen zijn binnen twee jaar een groter risico voor bedrijven dan economische onzekerheid.

Dat blijkt althans uit een onderzoek onder ruim 3300 IT-specialisten door een beveiligingsbedrijf. Het is niet de eerste keer dat de risico’s van cyberaanvallen voor bedrijven onder de aandacht worden gebracht.
Bijna de helft (48 procent) geeft aan dat de beveiliging tegen online diefstal van intellectueel eigendom in hun bedrijf te wensen over laat. Bovendien geeft 51 procent toe machteloos te zijn tegen serieuze pogingen van cyberspionage.
Mede daardoor geeft een derde van de IT-specialisten aan dat hij verwacht dat zijn onderneming vroeg of laat slachtoffer wordt van cyberaanvallen.
Opvallend is dat ook een derde van de ondervraagden niet op de hoogte is van de laatste trojaanse paarden en niet weet hoe gerichte aanvallen precies worden uitgevoerd.
Op dit moment wordt de economische onzekerheid door bedrijven als het grootste risico gezien. Cyberaanvallen staan op de tweede positie. Binnen twee jaar zou deze rangschikking dus omgedraaid moeten zijn.

Bron: Nu.nl

Bij Auruncus gaan we een stapje verder. We schrijven er al een tijdje over, en dat blijven we doen. Cyberaanvallen zullen niet over een jaar of twee de een grotere bedreiging zijn voor het bedrijfsleven dan economische onzekerheid, maar binnen een decennium voor een grotere, diepere financiële crisis zorgen dan de huidige economische crisis omdat ze de hele economie kan ontwrichten.

Elke politieke partij een CTO

“Het wordt allemaal wel heel complex.” Ik hoor dit steeds vaker om mij heen. Voor veel mensen is de technologische ontwikkeling niet meer bij te houden. Hoe groter het bedrijf, hoe complexer de IT infrastructuur wordt. Er is bijna geen beroep meer te bedenken waar de informatie technologie niet zijn intrede gemaakt heeft. Alles digitaliseert.

En kijk dan eens naar de overheid die in feite honderden producten aan miljoenen klanten verkoopt. Zelfs een lokale overheid als, bijvoorbeeld, de gemeente Ede heeft al bijna 100.000 klanten. Het maakt eigenlijk niet uit of je bij een gemeente digitaal een verhuizing door geeft of bij Bol een boek besteld. Het is een digitale transactie waarbij bijvoorbeeld persoonsgegevens over de lijn gaan. De systemen worden zo complex en we stellen ook nog eens zoveel eisen aan beveiliging en privacy dat de benodigde infrastructuur al snel behoorlijk ingewikkeld wordt. En al helemaal als we complexe nieuwe dingen gaan doen als het EPD of OV Chipkaart en bijvoorbeeld de invoering van de Basisregistraties. We zien zelfs mogelijkheden om nog verder te gaan. Binnen de overheid wordt enthousiast gekeken naar Open Data principes waarin data gedeeld kan worden en door andere (ook commerciële-) partijen gekoppeld en gecombineerd kan worden tot een nieuw product. De vraag is of we met ons allen de impact van Open Data op onze privacy en de ‘beveiligbaarheid’ van onze gegevens kunnen overzien.

Open Data Collage by Reekx

Adjiedj BakasVorige week werd het nieuwste boek van Trendwatcher Adjiedj Bakas over het Einde van de Privacy gepresenteerd. Bij de presentatie stelde de heer Tjin-a-Tsoi, directeur van het NFI dat nu al 50% van alle criminaliteit een Cyber component heeft. In plaats van meer blauw op straat moet er meer blauw op het internet schrijft Bakas in zijn boek. Over de rol van de overheid schrijft Bakas ondermeer;

“Internetveiligheid en privacyschendingen zullen de komende jaren belangrijke kwesties worden voor de overheid. Zij bevindt zich daarbij in een spagaat, want enerzijds verwachten burgers van de overheid dat die hun veiligheid garandeert, ook op het internet, en anderzijds is diezelfde overheid het zwarte schaap wat privacyschendingen betreft. Dat laatste is ook geen wonder, want de overheid beschikt over veel gevoelige informatie van burgers, en de regels omtrent de toegang tot die informatie zullen de komende jaren duidelijk vastgesteld moeten worden.”

De uitspraak in van de Hoge Raad in de Runescape zaak eerder deze week geeft ook te denken. Door gebrekkige wetgeving op het gebied van digitaal eigendom duurt het meer dan 3 jaar voordat er een definitieve uitspraak is in –eigenlijk maar een- klein vergrijp. En dit is maar een eerste voorbeeld van een serie wetten die nog achter lopen op ons digitale tijdperk. Voormalig tweede kamerlid Ed Anker geeft aan dat hij bij de debatten over de beveiligingschips wel eens opgemerkt heeft dat de overheid altijd een paar jaar lijkt achter te lopen. Een rondgang langs verschillende politieke partijen leert dat de meeste partijen echter vinden dat ze er ‘bovenop zitten’ maar dat ze vaak wel twijfels hebben over de deskundigheid op lokaal niveau.

De wet en regelgeving, en zeker het strafrecht is nog niet 2.0 ready. Discussies over de digitale vrijheid als SOPA, PIPA en ACTA (anti piraterij wetgeving) worden nu gekaapt door anarchisten als Anonymous bij gebrek aan visie en kennis in de politiek.

Op allerlei vlak speelt de ICT een grote rol die alleen nog maar groter wordt en in de komende jaren zal ook de politiek belangrijke keuzes moeten maken. En wetten. En het wordt steeds complexer. Mogen wij van de landelijke, provinciale en lokale politici verwachten dat zij de impact van de keuzes kunnen overzien als zelfs de beste IT architecten er al niet uitkomen?

Jawel. Dat mogen wij. In de politiek worden keuzes gemaakt die ons hele leven, onze samenleving beïnvloedden. Juist met het oog op deze aspecten is wordt het steeds belangrijker dat juist de politici de technologie gaan snappen, dat partijen over de IT impact van de voorstellen in hun partijprogramma gaan nadenken. Het is de hoogste tijd dat de politieke partijen een CTO, een Chief Technology Officer gaan aanstellen die dit in het snotje gaat houden.

Cyberoorlog – Gaaaap!

In mijn vorige artikel over het einde van de email refereerde ik aan het trendrapport van McAfee. Een bepaalde zinsnede uit het rapport viel me op:

Will this be the Year of Cyberwar, or merely a showcase of offensive cyberweapons and their potential? While we certainly hope it’s only the latter, the situation’s growth during recent years makes an eventual cyberwar nearly inevitable

Een snelle tweet leverde wel wat verschillende reacties op, variërend van “Gaaaaaaaaap” tot “Ik hoop dat ze dan genoeg professionals hebben om het op te lossen” Ik schrok zelf nogal van de eerste reactie want de impact kan immens zijn.

De impact van een cyberoorlog
Vooropgesteld dat alles te hacken is de kans groot dat een cyberoorlog verwoestend is. In een samenleving waarin steeds meer systemen aan elkaar gekoppeld worden én aan het internet kan de impact van een georganiseerde cyberaanval catastrofaal zijn, wereldomvattend.

In de afgelopen jaren hebben we genoeg voorbeelden gezien om – als we impact op ons laten inwerken – de dag van de cyberoorlog met vrees en beven tegemoet te zien. In de afgelopen jaren waren het gerichte, individuele aanvallen die aangetoond hebben dat de veiligheid niet alleen bij onwetende particuliere pc eigenaren ligt maar dat inderdaad alles te hacken is. Deze week berichtte NU nog over een nieuwe hack waarmee via printers op netwerken ingebroken kon worden. Maar ook gevangenisdeuren , banken , beurzen , logistieke systemen, waterkrachtcentrales, kerncentrales, wapenfabrikanten , watervoorziening en verwarmingssystemen zijn niet veilig, om maar een paar voorbeelden te noemen.

Bijna alle netwerken zijn op één of andere wijze gekoppeld aan het internet; omdat wij graag online verzekeringen willen afsluiten of onze bankzaken willen regelen, of omdat de werknemers ook graag thuis willen werken. Maar al te vaak zijn de bedrijfswerken nog één grote verzamelbak. Kun je bij één ding, dan kun je vaak bij alles. Netwerkzonering kan een heleboel schade voorkomen, maar zeker niet alles.

De genoemde aanvallen tonen aan dat het kan. Wanneer de aanvallen gecoördineerd worden kan de infrastructuur van een land lamgelegd worden. Een grote gecoördineerde aanval op bedrijven waarbij massaal de bedrijfsgeheimen wordt gelekt kan rampzalige gevolgen hebben voor de economie, want in feite is onze economie op geheimen gebaseerd: Ik kan iets, of ik weet is wat jij niet weet en daarom huur je mij in. Met die kennis maken we de producten die we verkopen.

De kans op een cyberoorlog
Als ik zo het rapport van McAfee lees dan is een cyberoorlog bijna onvermijdelijk. Ik onderschrijf die mening. De vraag is niet meer of, maar wanneer en door wie. In het rapport schrijft MacAfee:

“According to reports, the use of cyberweapons in the revolution in Libya was considered but didn’t happen because no one wanted to be the first to open Pandora’s box”

Als we naar de ‘wie’ kijken dan beseffen landen vaak wel dat de wereld tegenwoordig zo verbonden is met elkaar dat de kans op oorlogen wel afneemt. Kijk maar naar de Eurocrisis: We kunnen een land als Griekenland niet zomaar afschrijven want de gevolgen werken wereldwijd door. De grootste dreiging voor een cyberoorlog komt uit kleinere groeperingen.

We hebben het dan niet over de Nigerianen die met een door ons zelf gesponsorde “Iedereen een (100 dollar) PC” ons oplichten, ons de bankrekening nummers ontfutselen en de rekeningen leeghalen maar gerichte guerrilla aanvallen.

McAfee beschrijft ondermeer een scenario waarin Hacktivism (het hacken door activistische groeperingen als Anonymous) meer georganiseerd wordt. Veel mensen hebben toch wel sympathie voor Wikileaks en voor Anonymous maar hun methoden zijn verwoestend en anarchistisch. Het meest donkere scenario is het einde van het internet en een wereldwijde economische crisis die erger is dan de huidige schuldencrisis.

De oplossing
Op een eerder artikel kwam de reactie dat het makkelijker is om aan te geven wat er mis gaat dan om antwoorden te geven. Als ik de antwoorden al zou hebben, dan zat ik hier niet meer en was ik permanent op vakantie.

De bron van het probleem is de verouderde infrastructuur. In eerdere blogartikelen heb ik al geschreven dat deze in de jaren 80 ontworpen is door en voor academici en niet berekend is op de huidige wereld. Hier ligt dan mijns inziens ook de sleutel voor de oplossing van het probleem: Redesign the web. Maar dat is omvangrijk. Het gaat dan om een end to end oplossing. Niet alleen software, maar ook hardware en communicatieprotocollen moeten meer tracking en tracing opties krijgen.

Wordt er aan gewerkt? Nou nee. Er zijn initiatieven, maar vooralsnog wordt er gewoon grof geld verdiend aan het misbruik van de huidige infrastructuur. Een internet waarin persoonsgegevens veilig zijn is dodelijk voor de beurswaarde van bijvoorbeeld sociale netwerksites als Facebook.

Het einde van de Email

Begin deze week kwam ik een blogartikel van Eelco van der Wal tegen over het einde van de email. In dit artikel verwees hij naar artikelen van ABC News en Business Insider die begin deze maand meldden dat een grote ICT Dienstverlener, Atos, een verbod heeft ingesteld op het intern gebruik van email. De Business Insider schreef onder meer:

In case big email providers like Microsoft, Google, and Yahoo hadn’t already been scared stiff by recent online communication trends, this news should wake them up.

In de jaren 90 is het gebruik van email geëxplodeerd en liep het gebruik van email destijds ver voor op het gebruik van internet. Al jaren zet email de traditionele postmarkt, de ‘slakkenpost’ onder druk maar de laatste tijd zien we inderdaad dat email als medium zelf onder druk staat. In een survey van Sillicon Alley Insider zien we dat vooral onder jongeren het email gebruik over het laatste jaar gedaald is:

Gaat die trend zich doorzetten? Hoe komt dit en leidt dit tot het einde van email als communicatie medium?

Email is irritant
Email is eigenlijk altijd al een irritant medium geweest. Dit komt in de eerste plaats natuurlijk door de enorme hoeveelheid spam. Volgens de laatste statistieken van antivirusbedrijf Symantech zakt de hoeveelheid spam vorige maand naar het laagste niveau in 3 jaar. Toch is spam nog steeds goed voor een dikke 70% van alle emailverkeer.

Een tweede aspect waar we ons aan ergeren zijn die kennissen van ons die bij ieder mailtje om leesbevestiging vragen of al binnen een dag er achter aan mailen waarom we nog niet geantwoord hebben.

Nog zo iets irritants: Hebt u ook van die collega’s die bij het minste of geringste de neiging hebben om iedereen op de Cc te zetten?
Email is inefficiënt
Naast alle irritaties die email opwekt maken we ook nog eens onhandig gebruik van het medium. Niet alleen zetten we collega’s nodeloos op de Cc (want dan hebben we ze toch geïnformeerd, of hebben we ons zelf in ieder geval ingedekt) maar we voeren hele discussies op de email.

En zo kunnen we de discussie nog even doorvoeren. In deze korte emailwisseling staan er echter 8 versies van de regel “Hoe laat ben jij vanmiddag vrij” op de mailservers. Nu gaat het maar om één regeltje, maar we doen hetzelfde met beleidsdocumenten. Lijvige rapporten van meerdere MB’s vliegen heen en weer tussen collega’s met de vraag of ze het willen reviewen. We sturen het document naar 10 collega’s. Er zijn nu 11 kopieën. Maar liefst drie collega’s reviewen, mailen hun versie rond en er zijn nu al 44 kopieën in omloop.

Email is duur
Voor bedrijven kost het onderhouden en updaten van spamfilters een aardige duit Naast het werk aan de spamfilters zorgt ons inefficiënte rondmailen van documenten er voor dat ook de opslag van email flink in de papieren gaat lopen. Het afschaffen van email kan dan ook vanuit een kostenaspect toegejuicht worden door uw bedrijf.

Genoeg alternatieven
Voor de jongere generatie groeit vooral het gebruik van andere media. Met de smartphone zijn we niet meer gebonden aan SMS-jes van 160 tekens. Bovendien kunnen we allerlei media meesturen met onze berichten en zijn er voor korte berichten alternatieven als Whatsapp om ook gratis berichten te sturen. Voor iets langere berichten gebruiken we tegenwoordig al snel Facebook.

Voor de zakelijke markt komen de alternatieven echter maar langzaam van de grond. Bij diverse bedrijven zijn IM clients als Sametime (IBM) of OCS (Microsoft) beschikbaar, maar wordt er nog maar weinig gebruik van gemaakt. Oplossingen voor het samenwerken aan documenten zijn haast nog minder beschikbaar. De werknemers die het dan efficiënt willen oplossen wijken dan vaak uit naar een publieke service als Google Docs.

Email is gevaarlijk
Door het achterblijven van collaboration mogelijkheden in bedrijven zien we steeds meer documenten naar publieke providers verhuizen, maar ook de zakelijke email verdwijnt steeds vaker naar het publieke domein. In een poging om de kosten voor email zoveel mogelijk te drukken heeft de zakelijke gebruiker vaak maar een krappe 250MB aan opslagruimte en kunnen we geen email ontvangen groter dan 10 MB. En dus wijken we uit naar GMail.

En daarmee komen we bij de grootste bedreiging voor de zakelijke markt: Email wordt vooral onveilig gebruikt! Met name de grote publieke aanbieders als Microsoft, Yahoo en Google zijn regelmatig doelwit van hackers.

James Fallows schreef een artikel over het gehackte GMail account van zijn vrouw. Op de vraag aan Google hoe vaak dit nu voorkomt antwoordde Bryant Gehring, Account Recovery Stratagist van Google, dat het ‘slechts’ om ongeveer 1,000 gehackte emailaccounts per dag gaat. In 9 van de 10 gevallen is het alleen maar lastig voor de gebruiker die zijn mail kwijt is, maar spannender wordt het als het gerichte aanvallen betreft. Eerder dit jaar schreef de Washington Post :

Google said Wednesday a hacker in China obtained access to hundreds of Gmail accounts, including those of senior U.S. government officials, military personnel, Chinese political activists and journalists.
The company said it recently detected the security breach and stopped what it described as “a campaign to take users’ passwords and monitor their emails, with the perpetrators apparently using stolen passwords to change peoples’ forwarding and delegating settings.”

Email Trends voor 2012
Zo aan het einde van het jaar is het altijd goed om vooruit te kijken. Hoewel de laatste spam offensieven hun vruchten lijken af te werpen voorspelt McAfee in hun 2012 trendrapport een andere golf van spam via legitieme reclame bureaus:

In this environment, we can expect to see “legal” spam continue to grow at an alarming rate. It is cheaper and less risky to spam individuals from advertising companies than it is to use botnet-infected hosts. This sort of activity, known as snowshoe spamming, has grown so much that at the time of this writing the top 10 most common email subjects include one delivery status notification, one botnetrelated fake-Rolex spam, one confidence scam, and seven subjects associated with snowshoe spam. This sort of traffic will continue to grow at a faster rate than phishing and confidence scams, while botnetrelated spam will continue to decrease as botmasters find better and safer ways to wring money out of their armies of infected computers. It is only a matter of time before most global spam volume comes from badly behaving but “legal” entities.

Is dit dan het einde?
Er zijn maar weinig dingen die voor de eeuwigheid bestemd zijn en ik geloof zeker dat email daar niet bij hoort. We hebben de auto nog als vervoersmiddel, maar de stoomvariant hebben we allang niet meer. Vroeger hadden we naast de gewone post nog het telegram als snel communicatiemiddel, maar tegenwoordig lijkt het alsof dit alleen nog maar door de koningin en ministers gebruikt wordt uit piëteit met tradities. Zo zal email ook een tijdelijke variant zijn.

In 2012 zullen jongeren steeds meer gebruik maken van alternatieve media voor hun conversaties en zullen de bedrijven meer en meer collaboration software inzetten. De neerwaartse trend die Sillicon Alley Insider liet zien zal zich doorzetten.

Uiteindelijk zullen niet de alternatieve media de doodsteek leveren voor de email als communicatiemedium. Hoe hip het ook is om nu te zeggen dat je geen email gebruikt en best zonder kunt zal het uiteindelijk neerkomen op bedrijfseconomisch risicomanagement: Er komt een dag dat de limiet van gekraakte email adressen en gelekte informatie overschreden wordt en het te gevaarlijk wordt om zakelijk email te gebruiken.

In mijn vorige artikel schreef ik dat het internet niet voorbereid is op de huidige web 2.0 functionaliteit omdat het nog op een jaren 80 infrastructuur draait die ontworpen is door en voor academici, een ons kent ons gemeenschap. Voor email geldt hetzelfde: Door deze naïeve ontwerpfout bevat het email als medium te weinig veiligheidskleppen om het onder controle te houden.

Omdat het kan! De Generatie Beta en 10 jaar Web 2.0

Ik kan me nog goed herinneren dat we in de jaren negentig stevig inzetten op Bèta vakken. Met de toenemende automatisering hadden we veel technisch opgeleide mensen nodig. Maar tegenwoordig kiezen leerlingen in het voortgezet onderwijs massaal voor alfavakken. Als één van de oorzaken wordt het vroege keuzemoment genoemd door universitair docent Hanke Korpershoek. Slechts 3% van de meisjes kiest voor een Natuur en Techniek profiel, aldus Korpershoek. Béta vakken zijn uit. Er komt juist een hele Alfageneratie aan.

Zou deze keuze voor alfavakken ook deels bepaald kunnen worden de ontwikkelingen op internet? Het wereldwijde web is in de afgelopen tien jaar sociaal geworden. Websites als Hyves, Facebook en LinkedIn worden sociale netwerk sites genoemd en hebben miljoenen leden. Dit type websites noemen we sinds 2001 Web 2.0. Ook op het internet vinden we dat het weer wat socialer worden, de knuffelbaarheid mag weer terug in de maatschappij en op het net. Om te kunnen overleven in deze samenleving en op het internet moeten wij én onze kinderen juist meer aandacht geven aan onze sociale vaardigheden.

In de samenleving lijkt er minder ruimte voor béta te zijn, maar op het internet is het gemeengoed geworden. Een groot deel van alle nieuwe web 2.0 toepassingen zit nog in bèta. Dat wil zeggen: De toepassingen zijn nog niet klaar. Er kunnen bugs in zitten, we zijn nog aan het expirimenteren met nieuwe functionaliteit enzovoorts.  Het kan ook betekenen: Het is nog niet helemaal veilig, maar dat nemen we op de koop toe.

In onze drang naar nieuwe mogelijkheden proberen we steeds sneller iets nieuws uit. Overal en nergens laat je weer wat van je gegevens achter. We migreren van de ene site naar de andere site op zoek naar nieuwe functionaliteit en overal schrijven we ons in en vullen ons profiel met prive informatie.

Nu lijkt dit allemaal nog vrij onschuldig, maar hoe langer hoe meer systemen worden aan elkaar gekoppeld. Google Streetview werkt aan het ‘inlezen’ van huisnummers, gezichtsherkennings-software wordt steeds beter en steeds toegankelijker en het wordt ook steeds makkelijker om financiële gegevens van mensen op te vragen. Energiemaatschappijen en waterbedrijven koppelen hun netwerken aan het internet en ga zo maar door.

Een blik in de portomonnee

Neem bijvoorbeeld de website www.kadasterdata.nl Niets moeilijks aan. Je vult de postcode en het huisnummer in en je ziet de hoogte van de hypotheek die op dat huis ligt. Voor de koper is dat best handig. Hoe meer overwaarde er in zit, hoe scherper je waarschijnlijk kunt onderhandelen. Je weet dan tot hoe ver de verkoper kan zakken.

Maar wacht even.

Wilt u wel dat ik weet hoeveel hypotheek u heeft? Als ik kan constateren dat uw hypotheek te hoog is voor het salaris dat u verdiend? Ik kan tenslotte op LinkedIn zien welke functie u uitoefent en ik kan daar een salaris indicatie aan koppelen. U moet dus wel ergens zwart iets bijverdienen om dit te kunnen betalen. Wordt u daarmee niet chantabel?

De wetten van Beckstrom

Er worden steeds meer informatiebronnen aan elkaar gekoppeld. Of het nu gaat om het Elektronisch Patiënten Dossier (EPD), de Basisregistraties, of alle sites waarop u direct met uw Facebook account kunt inloggen. En hoe meer systemen we aan elkaar koppelen, hoe eenvoudiger het wordt om uw hele hebben en houden in kaart te brengen en er met uw identiteit vandoor te gaan.

De wetten van voormalig National Cyber Security Agency directeur Beckstrom zijn hierop van toepassing:

  1. Netwerken worden meer en meer gekoppeld
  2. Alles is te hacken
  3. Al het volgende volgt uit het voorgaande

Laat u wet 1 en 2 nog even op u inwerken en vult u dan zelf wet 3 in.

Welke impact heeft dit op u?

Simpel toch?

Alles is te hacken. En het wordt ook steeds gemakkelijker. Door steeds meer informatiebronnen te koppelen heeft de hacker steeds meer informatie die hij kan gebruiken. Er is dan ook een enorme toename te zien in het aantal identiteitsdiefstallen.

Ondertussen willen wij als consument steeds makkelijker onze zaakjes regelen. We willen onze auto kunnen bedienen met de iPhone, onze bankzaken mobiel regelen en zoveel mogelijk zaken met de gemeente en de overheid digitaal afhandelen. Omdat het kan.

In 2002 publiceerde Howard F Lipson een studie naar cybercriminaliteit.

attack-sophistication-v-intruder-technical-knowledge

(Bron Howard F. Lipson,  Tracking and Tracing Cyber-Attacks: Technical Challenges and Global Policy Issues. 2002)

Op dit plaatje laat hij zien dat de cyberaanvallen steeds gecompliceerder worden en de benodigde kennis daarvoor steeds minder is. In het begin van het internet tijdperk werden de PC’s beheerd door rare wezens diep in de kelders van het kantoor: De systeembeheerders, of de Morlocks zoals Neil Stephenson ze noemt naar analogie van de “Time Machine” van Wells in zijn essay “In the Beginning was the Commandline” . Dit waren nog eens echte nerds die in hun slaap machinetaal spraken. Zij zorgden dat u overal bij kon waar u bij mocht komen en geen andere dingen kon doen. Zij bepaalden wat binnen kwam en wat niet. Ook de hackers uit die dagen waren hoog opgeleide heren die heel wat in hun mars hadden. Nu zijn er wereldwijd miljarden onopgeleide systeembeheerders, namelijk wij consumenten, die als beheerders van ons thuisnetwerk zonder enige kennis van zaken de deur wagenwijd openzetten voor de hackers, die tegenwoordig ook niet meer zo slim zijn maar programmaatjes hebben die alles voor hen regelt.

En dit alles was nog voordat web 2.0 goed en wel losbrandde!

Hoewel het concept van dit type beheer natuurlijk vreselijk achterhaald is, is de trend zorgelijk: Het gebruiksgemak van computers is zo verbeterd dat wij inderdaad niet meer alles hoeven te weten om ons eigen systeem te runnen en er mee te doen wat we maar willen. Omdat het kan.

Web 2.0

Sinds 2001 leven we in de wereld van Web 2.0 en zijn sociale netwerksites als paddestoelen uit de grond gerezen. Wij delen met z’n allen miljoenen foto’s per dag en al onze wedervaringen op Facebook –en in afnemende mate Hyves. Al deze data is eenvoudig bij elkaar te sprokkelen door de juiste tools te gebruiken. Met alles wat we zelf delen is er meer informatie bij elkaar te sprokkelen op Sociale Netwerk sites dan wat er van feitelijk van ons in bijvoorbeeld de Gemeentelijke Basis Administratie staat en de kwaadwillende hacker kan op basis van deze –door u zelf gepubliceerde –gegevens  vrij makkelijk uw wachtwoorden achterhalen en uw email misbruiken. Het is schrikbarend hoeveel mensen nog een of andere vorm van hun geboortedatum of huwelijksdatum als wachtwoord gebruiken, of die van de kinderen.

Internet Security.

En het gaat mis. Sterker nog, het gaat steeds vaker mis omdat het internet zelf geen enkel afweer mechanisme heeft tegen kwaadaardig gebruik. In de jaren 80 is het internet opgezet als samenwerkingsplatform tussen academici, een kleine community van mensen die elkaar kenden en vertrouwden. Er was geen noodzaak om in de architectuur met kwaadwillende gebruikers rekening te houden, zo blijkt ook uit de studie van Lipson.

Internet Security is dan een illusie. Het bestaat gewoon niet. Alle maatregelen die we nemen om onze websites te beveiligen zijn tot op zekere hoogte cosmetisch op basis van Beckstrom’s Wet nummer 2: Alles is te hacken. En ook bijna alles wordt gehackt, ook omdat het gewoon kan.

Rat Race

In 2011 zijn we de illusie van veiligheid door Certificaten kwijtgeraakt na de val van DigiNotar. Nu komt de val van SSL encryptie. Ook SSL is tegenwoordig vrij eenvoudig te kraken. De oplossing is vrij eenvoudig: Van 64 bits encryptie stappen we over naar 128 bits encryptie. Bedrijven geven miljoenen Euro’s uit aan grotere processorcapaciteit om dit te kunnen ondersteunen, maar over een paar maanden zit die rekenkracht in een laptop van 1.200 Euro en loopt de eerste de beste huis-, tuin- en keukenhacker er mee de winkel uit en kunnen we opnieuw beginnen. Veranderingen in Security gaan ziet over ‘zwaarder’,’beter’, ‘sneller’ maar vooral over ‘anders’, zoniet, dan maken we ons zelf alleen maar gek en doen we aan kapitaalsvernietiging.

Web 2.0 in Beta.

In het afgelopen decennium hebben we op het web 2.0 honderden sites gezien die uit béta tevoorschijn zijn gekomen. Facebook, Twitter, LinkedIn, ze zijn allemaal mainstream ‘commodities’ geworden. Na tien jaar is web 2.0 een groot succes te noemen.

De grap dat Web 2.0 helemaal niet bestaat is al minstens even oud. Er is geen nieuwe versie van het internet gekomen, het oude is niet offline gehaald. En toch is het geen grap. De infrastructuur is nog steeds dezelfde als die in 1980, zonder de broodnodigde security maatregelen omdat het ontworpen is voor een veilige, academische wereld waarin men elkaar vertrouwd.

Michael Sutton van beveiligingsbedrijf ZScaler Research voorspeld dat hackers zich in 2012 meer op hardware dan op software zullen richten waarbij hij opmerkt dat Hardware bedrijven zeker 10 jaar achter lopen op security gebied ten opzichte van de software industrie.

Open Data

Vanuit de Europese Commissie, De Nederlandse Overheid en de lokale overheden wordt er vol ingezet op Open Data: Gemeenten en overheden moeten hun informatie beschikbaar stellen voor andere partijen. Op deze wijze kan miljarden bespaard worden. Volgens het EPSI Platform zelfs 27 Miljard. Maar om welke informatie gaat het dan? De plek van de lantaarnpalen in uw gemeente, de WOZ waarde van uw woning (zoals in het eerder genoemde voorbeeld van Kadasterdata), demografische gegevens, kwaliteitsmetingen enzovoorts. Dit alles gelukkig wel onder bepaalde voorwaarden. Welke informatie wel en niet? Blijkbaar de informatie uit het basisregister kadaster wel. Gaat de informatie uit het Handelsregister ook openbaar worden?

Voor de kerst werd duidelijk dat de Amerikaanse kamer van koophandel gekraakt is waardoor de (vermoedelijk Chinese) aanvallers toegang hadden tot gegevens van miljoenen klanten.  Hoe erg is dit? Wat kan een kwaadwillende hacker met deze data? Heel veel. Als de hackers weten wie bij de grote bedrijven tekenbevoegd is, en tot welk bedrag en ze kunnen de identiteit van deze mensen stelen, dan kunnen zij uit hun naam contracten afsluiten en het geld wegsluizen.

Een nieuw internet.

De beveiligingsrisico’s komen we op alle niveaus tegen. Op software gebied worden de nodige maatregelen genomen. In het totaal zal dit onvoldoende zijn. Als we op deze manier doorgaan gaat de kant het schip keren en zal het internet ophouden te bestaan omdat de risico’s voor onze maatschappij, zowel op privacy als economisch gebied te groot worden.

Met name door software leveranciers wordt er veel geïnvesteerd in het beveiligen van systemen. Bij de inrichting van de bedrijfsnetwerken wordt er ook steeds beter nagedacht over de beveiliging. Ook overheden nemen daarin hun verantwoordelijkheid aan de hand van richtlijnen als NORA en GEMMA. Op 19 december publiceerde IBM een top 5 van de trends die ze voor de komende jaren zien. Eén daarvan is dat we in 2017 geen wachtwoorden meer nodig zullen hebben maar alles op basis van biometrische authenticatie zal geregeld worden. Hiermee wordt een groot beveiligingsrisico weggenomen: Onze eigen luiheid om goede wachtwoorden te kiezen.

We zien de aandacht voor beveiliging groeien op alle niveaus: Hardwarematig, softwarematig maar ook op gebruikersniveau. Ik ben bang dat dit echter niet voldoende is. Het blijven variaties op een thema. Het wordt zwaarder, robuuster, maar niet anders. De verdere koppeling van systemen gaat door en de manier waarop informatie uitgewisseld wordt, de communicatie protocollen, blijft hetzelfde.

Door biometrische toegangscontrole mogen we dan misschien tegen onze eigen luiheid in bescherming genomen worden, maar hoe meer DNA banken gekoppeld worden op de huidige infrastructuur met de huidige communicatieprotocollen hoe eenvoudiger het voor de hacker wordt om ook over deze informatie te beschikken.

Doorgaan op dezelfde weg, meer maatregelen en zwaardere encryptie is niet het antwoord op het beveiligingsvraagstuk maar uitstel van executie. Het moet vooral anders. Pas dan hebben we echt web 2.0.

En nu verder

Moeten we nu ons massaal terugtrekken van internet? Moeten we Open Data wel willen? Moeten Security Officers overal op de rem trappen? Nee, dat kunnen we niet maken. We gaan verder, niet omdat het kan, maar omdat we er over nagedacht hebben. Bewust keuzes maken in wat we wel en niet kunnen delen.