(IT) Security.

[Skoody Boo]

Dat had ik al begrepen Ed. Niet te veel en te dure spulletjes uitzoeken helpt.  

[Snelle]

In het Verenigd Koninkrijk is discussie ontstaan over 'slimme' afvalbakken in de straten van Londen. Die verzamelen namelijk de unieke codes van draadloze apparatuur in de buurt, de zogenaamde MAC-adressen. Daarmee zou de Britse privacywetgeving mogelijk worden geschonden, meldt Tweakers.net.

Het bedrijf Renew plaatste de eerste zogeheten smartbins in Londen tijdens de Olympische Spelen van 2012, en inmiddels zijn het er honderden. De vuilnisbakken zijn voorzien van een lcd-paneel en wifi. Op de schermen staan advertenties en mededelingen van het stadsdeel.

Renew scant via de wifi-apparatuur de MAC-adressen van smartphones die voetgangers bij zich dragen. Met deze informatie bouwt het bedrijf uitvoerige profielen op en kan het bijvoorbeeld monitoren hoe lang een persoon in een bepaalde winkel is gebleven. De Britse krant The Independent meldt dat Renew in een week tijd meer dan 4 miljoen MAC-adressen verzamelde, waarvan 530.000 unieke.

Discussie

Inmiddels woedt een discussie of de smartbins de privacywetten niet schenden. Het verzamelen van MAC-adressen zou weliswaar niet zijn verboden, maar de cookiewetgeving zou het niet toelaten om burgers te volgen zonder hun toestemming. Privacyvoorvechters stellen dat de technologie van Renew hetzelfde functioneert als het plaatsen van een trackingcookie in een browser.

Renew ontkent dat zijn smartbins illegaal zijn en stelt dat het alle verzamelde MAC-adressen geanonimiseerd bij adverteerders aflevert. Wel geeft het bedrijf toe dat er een grijs gebied is in de privacywetgeving. Renew zou dan ook graag de dialoog willen aangaan met zowel privavcywaakhonden als de Britse overheid.

Bron:HLN.be

[Captain Hook]

Spoof je gewoon je MAC address, dan is die info ook gelijk waardeloos.

 

BTW: ditzelfde gebeurt in Nederland ook op beurzen (b.v. Jaarbeurs en RAI). Daar staan scanners die kijken hoeveel/vaak mensen met een mobieltje langskomen lopen (scannen op zowel WiFi en/of blauwetand activiteit). Een kennis van me levert namelijk die apparatuur!

Ze hebben zelfs van Rijkswaterstaat toestemming gekregen om dit langs de snelweg (in Roosendaal) neer te zetten, als experiment...

 

Of het helemaal legaal is, is weer een andere vraag...

[Cyrus]

Er wordt al langer door wegbeheerders (gemeenten, provincies, RWS) gebruik gemaakt van elektronica langs de weg, die bluetoothscanners gebruikt om het aantal passerende voertuigen en de gemiddelde snelheid te scannen. Aangezien meer dan 90% van de automobilsten zijn/haar telefoon via bluetooth koppelt aan een carkit, "oortje", navi of ingebouwd multimediasysteem, geeft dat zeer representatieve meetresultaten.

Met die info wordt - behalve ten behoeve van verkeersinfo - verder niets gedaan, naar men zegt. Zo'n toepassing is op zich een zegen: daarmee wordt de verkeersinfo nauwkeuriger, met name op provinciale wegen, waar geen detectielussen liggen.

 

Maar daarbij meteen de kanttekening dat de verkregen info natuurlijk evengoed wél voor andere doeleinden ingezet kan worden. Daarnaast: als de technologie beschikbaar is voor wegbeheerders, dan is het voor iedereen te koop en dus ook voor lieden met minder nobele bedoelingen.   

[EdK]

Ach TomTom gebruikt de GSM gegevens ook al een tijdje voor hun traffic dienst

[Captain Hook]

Ach, we hebben toch allemaal niks te verbergen...

[EdK]

nee man telefoon en TT zijn van de zaak en staan op naam van zaak, toch ?

[Wasmachineman]

Ze mogen mij volgen, doen ze al met alle cookies die ik overal achterlaat! Gemak dient de mens. Toch?

[Wasmachineman]

Nou klaagde mijn vrouw erover dat ze niet meer kon inloggen thuis in haar werk? Ze moest alle cookies verwijderen, gedaan dus en nu kan ze weer inloggen in haar webmail...raar!

[EdK]

ze had ze beter op kunnen eten

[Wasmachineman]

Doe maar niet want daar wordt ze dik van.

[MarcoO2]

schoon je je pc niet regelmatig op dan?

[EdK]

hij doet alleen de wc en gang als t opgedragen word

[Wasmachineman]

schoon je je pc niet regelmatig op dan?

Jawel, met een pc cleaner en fragmenteren ook. Alleen cookies blijven dan zitten waar ze zaten...

[EdK]

Ja de koekies zitten verborgen in de koektrommel van je webbrowser

en kun je zo instellen dat hij die elke keer bij afsluiten ook nog eens leeggooit

[Wasmachineman]

Maar ik wil die cookies niet weggooien, 1 x per half jaar is prima om ze te verwijderen.

[MarcoO2]

OK, ik neem die troep juist wel mee als ik de cleaner eroverheen gooi.

[EdK]

tsja je hebt goede en slechte stofzuigers

en de goede zuigen ook de koekies op

[Snelle]

Amerikaanse overheid kan VPN, SSL, TLS en 4G kraken

Samenvatting:De NSA kan encryptietechnologieën omzeilen zoals die gebruikt wordt bij internetbedrijven zoals Google, Facebook en Microsoft. De achterdeur naar persoonlijke en zakelijke geheimen staat gewoon open.

Het nieuws dat de Amerikaanse veiligheidsdienst NSA enkele geavanceerde en veelgebruikte encryptiemethoden kan omzeilen stond tegelijk in the New York Times, Pro Publica en The Guardian. Het is gebaseerd op nieuwe uitgelekte documenten van klokkenluider Edward Snowden.

De NSA is bezig met een programma met codenaam Bullrun. Dat is een combinatie van supercomputers, technische trucjes, gerechtelijke bevelen en overredingskracht achter de schermen. Alles samen ondermijnt Bullrun zowat alle beveiliging waarop het internet is gebaseerd, bijvoorbeeld virtual private networks (VPN’s), sockets layer (SSL) en transport layer security (TLS) protocols. The New York Times vermeldt ook nog een niet nader genoemd beveiliging van 4G-communicatie met smartphones.

De technologie om de encryptie te omzeilen moet indrukwekkend zijn, want de Britten kregen in 2010 een voorstelling. Een memo daarover zei ‘degene die nog niet gebrieft waren, staan er met open mond naar te kijken’.

De NSA vertrouwt niet (uitsluitend) op decryptie met brute kracht, door computers altijd nieuwe encryptiesleutels te laten proberen. Ze gebruiken ook achterdeurtjes die ze in de beveiligingstechnologie van Amerikaanse en buitenlandse bedrijven hebben laten inbouwen. Zou zouden er ook achterpoortjes zitten in hardware die gegevens van bedrijven en burgers versleutelt.

Medewerkers van de NSA hebben wetens en willens de internationale encryptiestandaarden voor ontwikkelaars verzwakt. Specialisten in de cryptografie vermoeden al langer dat de NSA kwetsbaarheden heeft binnengesmokkeld in een standaard uit 2006 van het National Institute of Standards and Technology en later in de International Organization for Standardization, waarvan 163 landen lid zijn.

Wat kunnen we doen?

Met deze onthullingen wordt duidelijk dat de betrouwbaarheid van heel het internet wordt ondermijnd. De technologieën voor encryptie zijn de hoesteen om informatie betrouwbaar uit te wisselen.

Hebben cryptografen, zoals de Belgische Vincent Rijmen en Joan Daemen, die aan de wieg stonden van de algemeen gebruikte technologie AES nu boter op het hoofd? Allicht niet. Veiligheidsexpert Bruce Schneier gelooft niet dat de kwetsbaarheid zit in de encryptie-algoritmes, wel in de software die gegevens moet versleutelen en ontcijferen. Op zijn blog schrijft hij: “Onthou: de wiskunde is goed, daar zit geen agentschap achter. De code heeft een agentschap en aan de code is geprutst.”

Kunnen we iets doen om onze gegevens te beschermen? Volgens Schneier zijn drie dingen die we kunnen doen:

Getuigen als je benaderd bent om achterdeurtjes in je technologie te zetten

Het internet herontwerpen met open protocollen en open implementaties

Ander beheer voor het Internet. De VS heeft bewezen dat ze al even betrouwbaar zijn als de UK, China, Rusland en Iran als het op het beheer van het internet aankomt. Er moet transparantie, overzicht en rekenschap zijn.

Bron: Smart Biz

9 september 2013 aangepast door Snelle

[Captain Hook]

Voor onze belgische vrinden:

http://tweakers.net/nieuws/91307/servers-belgacom-gehackt-door-buitenlandse-inlichtingendienst.html

 

Servers van de Belgische internetprovider Belgacom worden al twee jaar afgeluisterd door een buitenlandse inlichtingendienst, waarschijnlijk de NSA of de Britse GCHQ. Dat melden twee kranten. De hack zou zijn gericht op een Belgacom-dochter die in het Midden-Oosten opereert.

Op servers van het telecombedrijf is door een Nederlands beveiligingsbedrijf, dat door Belgacom werd ingeschakeld, 'geavanceerde malware' aangetroffen, schrijven NRC Handelsblad en de Belgische krant De Standaard. De Belgische krant beweert op basis van anonieme bronnen dat de NSA achter de hack zit, maar volgens NRC zou ook de Britse geheime dienst GCHQ, die veel samenwerkt met de NSA, de aanval gepleegd kunnen hebben.

De hack zou zich hebben gericht op Belgacom International Carrier Services, een joint venture van Belgacom en twee andere telecomproviders die ondersteunende diensten aan andere telco's levert. In die sector is BICS een van de grootste spelers, wat de interesse van de inlichtingendiensten verklaart. De inlichtingendiensten zouden vooral geïnteresseerd zijn geweest in telefoonverkeer in landen als Syrië, Jemen en andere landen die door de Amerikanen onder de noemer 'schurkenstaten' worden geschaard.

Het afgelopen weekend heeft het Nederlandse beveiligingsbedrijf de servers van Belgacom volgens De Standaard schoongemaakt. Ook zou de telecomprovider aangifte hebben gedaan. Volgens De Standaard ligt de zaak in België politiek gevoelig, omdat de federale overheid grotendeels eigenaar van Belgacom is.

[Sodela]

Nou, dit is niet alleen bij onze Belgische vrienden een probleem. Vermoedelijk zit in vrijwel alle producten ook wel een achterdeurtje ingebouwd ten behoeve van vage organisaties als de NSA en dergelijke. Met bij routers natuurlijk altijd erg handig als je via die manier altijd binnen kunt komen.

In onze organisatie maakt men zich opeens zorgen om de Chinese vrienden van bijvoorbeeld Huawei zodat de Chinese NSA misschien binnen kan komen terwijl Cisco volledig vertrouwd wordt... Sommige mensen snappen er ook niets van.

 

Los daarvan is het maar altijd de vraag of die "opsporingsdiensten" er wel het nodige relevante metriaal uit kunnen krijgen of dat het verzamelen alleen maar voor de heb is.

[Captain Hook]

De belgen wisten het een jaar geleden al...

http://tweakers.net/nieuws/91335/belgacom-had-spionagemalware-op-servers-een-jaar-eerder-kunnen-opsporen.html

[Captain Hook]

Hacken ze niet je PC of slimfeun, dan hacken ze gewoon je internet router...

https://www.security.nl/posting/364253/Router-botnet+steelt+wachtwoorden+uit+netwerkverkeer

 

Router-botnet steelt wachtwoorden uit netwerkverkeer

Een internationaal botnet van gehackte routers wordt gebruikt om wachtwoorden uit het netwerkverkeer van slachtoffers te stelen. Daarvoor waarschuwt het Duitse computermagazine c't. Het router-botnet zou tal van slachtoffers in Duitsland hebben gemaakt, waaronder een advocatenkantoor.

De malware had daardoor toegang tot alle e-mailaccounts van de advocaten die op het kantoor werken. De aanvallers hebben het voornamelijk voorzien op routers die de DD-WRT router-firmware draaien, waaronder de populaire Linksys WRT54G. DD-WRT is een populaire firmware voor routers, die vaak meer opties en mogelijkheden biedt dan het standaard geïnstalleerde 'besturingssysteem'.

Sommige routers zijn standaard van deze firmware voorzien, maar veel gebruikers kiezen ervoor om die zelf te installeren. Aangezien veel gebruikers de router-firmware na de eerste installatie niet meer updaten als er een update beschikbaar is, zijn er veel ongepatchte routers actief.

Netwerkverkeer

Eén van deze kwetsbaarheden maakt het mogelijk voor een aanvaller om het toestel over te nemen. Het lek werd in 2009 ontdekt en gepatcht, maar veel routers missen de update. Zodra de aanvallers toegang hebben wordt er een netwerksniffer geïnstalleerd die inloggegevens uit het netwerkverkeer haalt en naar de aanvallers doorstuurt.

Op de server waar de aanvallers de gestolen gegevens verzamelden, werden tienduizenden bestanden met gestolen inloggegevens aangetroffen. Naast het advocatenkantoor werd ook nog een bakkersketen ontdekt waar de routers waren gehackt. Via de routers hadden de aanvallers naast inloggegevens ook toegang tot de beelden die met de beveiligingscamera's in de winkels werden gemaakt.

C't ontdekte duizenden IP-adressen van gehackte routers, waaronder tientallen in Duitsland. Die zijn allemaal gewaarschuwd. Het magazine beschrijft in dit artikel hoe eigenaren van een router met DD-WRT kunnen controleren of ze ook gehackt zijn

[Captain Hook]

https://www.security.nl/posting/370459/Banken+stellen+nieuwe+regels+voor+internetbankieren

 

Nederlandse banken hebben nieuwe regels voor internetbankieren opgesteld waar klanten aan moeten voldoen als ze in het geval van fraude hun geld terug willen krijgen. Zo mag er geen illegale software zijn geïnstalleerd, moet de computer up-to-date zijn en moet de rekening regelmatig worden gecontroleerd.

Dat laat de Nederlandse Vereniging van Banken (NVB) weten. Tot nu toe hanteerde iedere bank zijn eigen veiligheidsvoorschriften. Banken bepalen zelf wanneer ze de nieuwe uniforme regels aan hun klanten communiceren. Tot dat moment zullen banken bij de behandeling van nieuwe claims van klanten vanaf 1 januari 2014 in de geest van de nieuwe regels handelen.

Mocht een klant schade lijden en het blijkt dat hij zich niet heeft gehouden aan de veiligheidsregels, dan kan een bank op basis van haar coulancebeleid overigens alsnog besluiten om een deel van de schade voor haar rekening te nemen.

Veiligheidsregels

De NVB heeft de nieuwe veiligheidsregels samen met de Consumentenbond opgesteld. Ze gaan voor particuliere klanten gelden. "Als consumenten zich aan de volgende veiligheidsregels voor elektronisch bankieren en - betalen houden, verminderen zij de kans sterk dat om slachtoffer te worden van fraude. Ook weten ze dan zeker dat de bank de schade vergoedt", stelt de NVB. Het gaat in totaal om vijf regels.

 

1. Houd beveiligingscodes geheim. Klanten mogen beveiligingscodes alleen zelf gebruiken. Daarnaast mogen ze niet worden opgeschreven. In het geval dit echt niet anders kan moet de code in een onherkenbare vorm voor anderen worden opgeschreven. Als klanten zelf hun beveiligingscode kiezen mag die niet eenvoudig te raden zijn. Bijvoorbeeld geen geboortejaar of naam van een familielid of een postcode. Klanten mogen de beveiligingscode ook nooit per telefoon of e-mail doorgeven.
2. Anderen mogen de bankpas niet gebruiken. Klanten moeten zich tijdens het gebruik van de bankpas niet laten afleiden en de bankpas altijd op een veilige plaats opbergen waar die niet eenvoudig verloren kan worden. Ook moet de klant regelmatig controleren of hij de bankpas nog in zijn bezit heeft.
3. Goede beveiliging van de apparatuur die wordt gebruikt voor bankzaken. Hierbij geldt dat de geïnstalleerde software op de apparatuur, zoals computer, tablet en/ of smartphone, die voor het regelen van de bankzaken wordt gebruikt, is voorzien van actuele (beveiligings)updates. Geïnstalleerde software is bijvoorbeeld het besturingssysteem en beveiligingsprogramma’s, zoals virusscanner en firewall.

   Ook mag er geen illegale software zijn geïnstalleerd. Verder moet de apparatuur die wordt gebruikt voor het regelen van bankzaken met een toegangscode beveiligd zijn. Klanten moeten er daarnaast voor zorgen dat de toepassingen van de bank op hun apparatuur niet door onbevoegden zijn te gebruiken. Als laatste moeten klanten na hun bankzaken uitloggen.

   Controleer de bankrekening. Klanten moeten in ieder geval elke twee weken hun rekeninginformatie controleren. Alleen als klanten rekeninginformatie op papier ontvangen moeten ze deze twee weken na ontvangst controleren. Als er schade voor de bank ontstaat doordat de klant enige tijd zijn rekeninginformatie niet heeft kunnen controleren, kan de bank de klant vragen aan te tonen waarom dit niet mogelijk was.

4. Meld incidenten direct aan de bank en volg aanwijzingen van de bank op. Het gaat dan om zaken als klanten weten of vermoeden dat iemand anders hun beveiligingscode kent of heeft gebruikt, of dat er transacties op de bankrekening hebben plaatsgevonden waarvoor geen toestemming is gegeven. Ook moet er direct contact met de bank worden opgenomen als de klant iets vreemds of ongebruikelijks ervaart, zoals een andere manier van inloggen.

In het geval banken fraude vermoeden kunnen ze daarnaast de klant blokkeren om (verdere) schade te voorkomen. Als de bank in dit geval aanwijzingen geeft, bijvoorbeeld om nieuwe incidenten te voorkomen, dan moet de klant deze aanwijzingen opvolgen. "Ook hierbij zal de bank u nooit om beveiligingscodes vragen", aldus de NVB. Die laat verder weten dat de schade als gevolg van fraude met internetbankieren daalt.

 

Klinkt allemaal heel lovenswaardig, maar in de praktijk zitten er vele haken en ogen aan. Riekt meer naar het afschuiven van de verantwoordelijkheid naar de klant! En zoals gewoonlijk betaalt de klant ALTIJD. Zowel voor het gemak als het ongemak...

[Captain Hook]

https://www.security.nl/posting/379785/Duitse+websites+tonen+valse+waarschuwing+tegen+adblockers

 

Deutsche Schweine:

 

Verschillende Duitse websites gebruiken valse veiligheidswaarschuwingen om ervoor te zorgen dat bezoekers hun adblockers uitschakelen, zodat ze weer advertenties te zien krijgen. Het gaat om de websites van Web.de en GMX, twee grote Duitse hosting- en webmailproviders.

Bij het bezoeken van de websites met een browser die een adblocker gebruikt verschijnt er een waarschuwing dat de veiligheid van de computer door de adblocker in het gevaar is. De browseruitbreiding zou volgens de waarschuwing wachtwoorden van banksites kunnen onderscheppen.

Vervolgens kan men via een knop de veiligheid herstellen. De knop wijst naar de website browsersicherheit.info, waar gebruikers advies krijgen hoe ze de adblocker kunnen verwijderen, zo meldt het Duitse Heise. Bewijs dat de adblockers ook daadwerkelijk de veiligheid van de computer in gevaar brengen geven de websites niet.

27 februari 2014 aangepast door Captain Hook