2012: de digitale wereld blijft onveilig

Inleiding

Verander uw wachtwoord regelmatig, let erop waarop u klikt, en vooral: gebruik een virusscanner. Dat is in de basis wat internetters wordt aangeraden om onheil als virussen en phishing te voorkomen. Maar wat in 2012 nog meer dan in voorgaande jaren duidelijk is geworden: dat helpt slechts ten dele. Je kunt je wachtwoord nog zo vaak wijzigen, als een database met logingegevens wordt gestolen en ook nog eens slecht beveiligd blijkt te zijn, dan heb je niets aan je goede gedrag.

Of neem het niet klikken op verdachte links. De gedachte is dat je daarmee voorkomt dat malware zich via gaten in niet bijgewerkte of ongepatchte software op je systeem nestelt. Nog los van het feit dat je niet altijd kunt inschatten wat er achter een link schuilgaat, blijkt dat advies compleet nutteloos wanneer populaire websites of advertentienetwerken worden gehackt om malware te serveren.

Tweakers blikt terug op een jaar waarin vooral bedrijven, en niet internetgebruikers, de blaam treft. Een jaar waarin hackers het verkeer van klanten van een grote internetprovider hadden kunnen afluisteren, nieuwssites malware serveerden en overheden werden gehackt.

Binnen bij KPN

Op het gebied van beveiliging was 2012 geen leuk jaar voor KPN. Op een woensdagmiddag in februari, rond een uur of half vijf 's middags, plaatste het telecombedrijf een bericht online. KPN gaf aan dat een of meer hackers 'zichzelf toegang' hadden verschaft tot 'één serverdomein binnen het KPN it-netwerk'. Toen de hack op 20 januari werd ontdekt, had de hacker al enkele dagen toegang. Meteen werd geprobeerd het lek te dichten, maar dat lukte niet: een week later bleek de hacker nog steeds toegang te hebben.

Aanvankelijk was niet direct duidelijk hoe groot de omvang van het datalek precies was. Het bedrijf gaf wel direct toe dat de hacker of hackers bij privégegevens van klanten konden, zoals naw-gegevens, telefoonnummers en bankrekeningnummers. Het probleem bleek echter veel groter te zijn dan gedacht: de aanvaller bleek toegang te hebben tot honderden servers en was in staat om het verkeer van KPN-klanten te onderscheppen, zo meldde Tweakers, wat het kabinet later bevestigde.

De hackers die achter de aanval zouden zitten, claimden dat de hack op KPN 'kinderlijk eenvoudig' was doordat het bedrijf software niet had bijgewerkt. De provider zou bovendien bang zijn geweest dat de hackers 112 konden blokkeren bij klanten met een InternetPlusBellen-abonnement. De provider zou zelfs met de gedachte hebben gespeeld om de getroffen servers geheel uit te schakelen. Later gaf de isp toe dat het onderhoud aan zijn systemen 'niet optimaal' was.

Gelukkig voor KPN - maar, ongetwijfeld ook tot schaamte van het bedrijf - werd de aanval niet gepleegd door zware criminelen die gegevens van KPN-klanten wilden verkopen, maar door in ieder geval één 17-jarige jongen uit Barendrecht. Volgens het Openbaar Ministerie had hij op de honderden servers waar hij toegang toe had, root-rechten bemachtigd. Bovendien zou hij ook nog eens in gestolen creditcards hebben gehandeld en servers van buitenlandse universiteiten hebben aangevallen.

Baby Dump

In de chaos rond de hack van KPN zette iemand persoonsgegevens van honderden mensen online, die klant van KPN zouden zijn. Uit voorzorg haalde KPN zijn webmailsysteem offline, maar de gegevens bleken helemaal niet van de telecomprovider afkomstig: ze kwamen uit de database van het eerder al gehackte Baby Dump, een site die artikelen voor baby's verkoopt.

Dat wil niet zeggen dat de aanval op zijn servers het enige pijnlijke moment was voor KPN dit jaar. In augustus moest het bedrijf zijn MijnKPN-apps, waarmee klanten gegevens over hun verbruik kunnen inzien, offline halen. Het kon namelijk gebeuren dat een klant bij het openen van de app niet zijn eigen gegevens inzag, maar die van een andere gebruiker. Dezelfde week gebeurde hetzelfde met de MijnKPN-site. In september herhaalde de geschiedenis zich: toen moest de Mijn Hi-site van dochterprovider Hi offline worden gehaald vanwege hetzelfde probleem. Ook was de zakelijke webhostingdienst van KPN kwetsbaar voor een ernstig lek in php.

LinkedIn

Ook LinkedIn ondervond dit jaar een pijnlijke hack. Op een Russische website verschenen wachtwoorden van 6,5 miljoen LinkedIn-gebruikers, die afkomstig waren uit de database van de zakelijke sociale-netwerksite. De wachtwoorden waren bovendien niet voorzien van een salt: een waarde die aan een wachtwoord wordt toegevoegd om het minder gevoelig voor rainbow tables te maken. Inmiddels zijn de wachtwoorden van LinkedIn-gebruikers gesalt, beloofde het bedrijf kort na de hack.

De overheid onder vuur

Ook de overheid kwam 2012 niet ongeschonden door op het gebied van ict-beveiliging. In augustus kampten verschillende overheidsinstellingen met een mysterieus virus, dat de naam Dorifel meekreeg. Het virus trof onder meer de ministeries van Economische Zaken en dat van Onderwijs, evenals het KNMI, het RIVM, de Nederlandse Defensie Academie, twee provincies, de nodige gemeenten en universiteiten in Amsterdam, Utrecht en Rotterdam. Ook bedrijven zouden zijn besmet, maar welke dat zijn, is tot op de dag van vandaag niet duidelijk.

Het virus 'verminkte' onder meer Word- en Excel-documenten en veranderde de extensie van die bestanden naar '.scr', de Windows-extensie voor screensavers. Waarom het virus dat deed, is nog steeds onduidelijk. Wat 'functionaliteit' betreft vertoonde het virus kenmerken van ransomware: de computer van een gebruiker wordt dan 'gegijzeld' door een virus, waarbij de mededeling wordt getoond dat een gebruiker moet betalen om zijn computer weer bruikbaar te maken. In sommige gevallen worden dan ook documenten versleuteld. In het geval van Dorifel werd echter geen melding getoond dat betaald moest worden. Een later opgedoken versie deed dat echter wel; het is goed mogelijk dat de versie die de overheid infecteerde, per abuis geen mededeling toonde.

Eind december nog bleek uit onderzoek van Surfright en Digital Investigation dat het botnet dat Dorifel zou hebben verspreid, interne netwerkstructuren in kaart bracht, om vervolgaanvallen mogelijk te maken. Het botnet zou meer dan 264.000 'zombies', besmette pc's, in Nederland hebben geteld. Uit de analyse van de twee beveiligingsbedrijven blijkt dat de aanvallers over buitgemaakte logingegevens beschikten voor onder meer De Telegraaf, WeerOnline.nl en RTV West, zodat ze via die sites malware konden verspreiden - daarover later meer.

Over het algemeen wordt aangenomen dat het Dorifel-virus geen gerichte aanval op de overheid was, met doel om documenten buit te maken. Het virus maakte echter wel duidelijk dat in ieder geval een deel van de overheid onvoldoende was toegerust op digitale aanvallen. En dat terwijl buitenlandse overheden het zouden hebben gemunt op Nederland: de AIVD verdenkt China ervan een aantal Nederlandse overheidsorganisaties, die gezamenlijk aan een ongespecificeerd project werken, te hebben aangevallen met malware.

Buitenland

Niet alleen de Nederlandse overheid lag dit jaar onder vuur. Het 'losvaste' hackersverband Anonymous wist dit jaar in te breken bij het Amerikaanse ministerie van justitie en maakte daarbij onder meer e-mails en databasegegevens buit. De aanvallers verspreidden via bittorrent een dump van 1,7GB aan ontfutselde gegevens. Dat zou Anonymous gedaan hebben uit wraak, omdat de Amerikaanse overheid het internet zou censureren. Ook bij geheime systemen van het Britse ministerie van defensie kwamen hackers binnen.

I'm in your browser

Gebruikers wordt altijd aangeraden om niet op verdachte linkjes te klikken voor veilig gebruik van internet. Wie dat wel doet, loopt immers het risico om geïnfecteerd te worden met malware. Dit jaar werd duidelijk dat dat advies ongetwijfeld goedbedoeld is, maar helaas niet meer voldoet. Dit was immers het jaar waar meerdere grote websites hun bezoekers onbewust malware serveerden.

Want je kunt nog zo voorzichtig zijn met het aanklikken van links; als een van de grootste websites van Nederland malware verspreidt, heeft dat geen zin meer. Dat is precies wat in maart van dit jaar is gebeurd. Circa een uur lang serveerde NU.nl javascript-code waarmee werd geprobeerd om de bezoeker met een trojan te infecteren. Het ging om de Sinowal-malware, waarmee bankgegevens kunnen worden gestolen. De aanvallers kregen via het content management systeem toegang tot de server. Mogelijk zijn honderdduizend bezoekers geïnfecteerd.

NU.nl was niet de enige site die zijn bezoekers infecteerde: de Telegraaf deed in september hetzelfde. Ook de nieuwssite van NRC Handelsblad en zusterkrant nrc.next verspreidden malware. In november blokkeerden onder meer Firefox en Chrome de site van NRC urenlang, nadat via besmette banners werd verwezen naar exploit-kits. Ook hierbij zou het om een banking-trojan gaan, die werd geïnstalleerd via een lek in Java.

Plug-ins

Exploit-kits, zoals de code die zich verspreidde via besmette nieuwssites en advertentienetwerken, misbruiken kwetsbaarheden in software om virussen te installeren op pc's van gebruikers. Daarvoor misbruiken ze doorgaans geen kwetsbaarheden in browsers. Makkelijker te misbruiken zijn kwetsbaarheden in plug-ins, zoals Java, Acrobat Reader en Flash.

Vooral Java kwam dit jaar regelmatig in het nieuws met beveiligingsproblemen. Volgens Kaspersky is Java dan ook het populairste doelwit van malware-auteurs: in het afgelopen kwartaal zou 56 procent van de malware zich op Java hebben gericht. Ook Acrobat Reader was populair, met 25 procent.

Volgens Kaspersky kan de populariteit van Java onder malware-auteurs worden verklaard doordat zeer veel mensen de plug-in hebben geïnstalleerd - volgens Java-eigenaar is de plug-in aanwezig op 1,1 miljard pc's. Veel gebruikers updaten de software bovendien niet, en Java-bugs zijn volgens Kaspersky makkelijk te misbruiken. Bovendien komen kwetsbare Java-versies vaak voor.

In november zou 35 procent van de gebruikers kwetsbaar zijn geweest voor een aantal problemen in Java die in augustus werden ontdekt en die het mogelijk maken om op afstand eigen code uit te voeren. Een patch die die bugs oploste maar zelf nieuwe kwetsbaarheden introduceerde, is geïnstalleerd op 21,7 procent van de pc's.

Mac OS X en mobiele malware

OS X heeft net als Linux het imago dat het een veel veiliger besturingssysteem is dan Windows. Dat imago heeft dit jaar echter een flinke deuk opgelopen, door een stuk malware met de naam Flashback. De trojan, die misbruik maakte van een beveiligingsprobleem in Java, zou meer dan 600.000 Macs hebben besmet, het merendeel daarvan in de Verenigde Staten. Slechts 0,2 procent van de besmettingen zou in Nederland hebben plaatsgevonden.

De Flashback-malware maakte duidelijk dat ook OS X-gebruikers niet gevrijwaard zijn van beveiligingsproblemen. Het virus leidde ertoe dat de ceo van Kaspersky, Eugene Kaspersky, Apple er flinks van langs gaf. Niet alleen zou er weinig verschil zijn tussen Windows en OS X, omdat voor beide systemen malware is te ontwikkelen, ook zou Apple tien jaar achterlopen op Microsoft als het gaat om beveiliging.

Mobiele malware

Hoewel ook in 2012 een grote uitbraak van mobiele malware uitbleef - en die komt er voorlopig ook niet, denkt Trend Micro - zaten auteurs van malware voor mobiele besturingssystemen dit jaar niet stil. In december nog dook een Android-botnet op waarbij telefoons van geïnfecteerde gebruikers ongemerkt sms'jes verzonden. Vooralsnog zouden er echter weinig infecties zijn, en ook zouden die sporadische gevallen zich in de Verenigde Staten voordoen. Eerder zouden 500.000 Chinese telefoons zijn geïnfecteerd met malware die mobiele betalingen uitvoert.

Al langer staat Android bekend als onveilig platform. Om dat probleem tegen te gaan, kondigde Google in februari aan applicaties in de Play Store te scannen op malware; iets dat aanvankelijk niet gebeurde, in tegenstelling tot in de App Store van Apple. Vanaf Android 4.2 scant Google ook de applicaties die al op een toestel zijn geïnstalleerd, om zo malware te kunnen ontdekken en onschadelijk te kunnen maken. Uit onderzoek van een Amerikaanse universiteit blijkt echter dat slechts eenvijfde van de malware door die ingebouwde scanner wordt opgemerkt.

Een van de vele dingen die mobiele malware zo interessant maakt, is dat ze worden gebruikt voor internetbankieren. In december bleek uit onderzoek van Check Point dat een criminele groepering daardoor 36 miljoen euro zou hebben verdiend. De mobiele malware, die samenwerkte met malware die op de computer van een internetbankierder was geïnstalleerd, onderschepte de tan-codes. Internetbankierders verloren gemiddeld 1200 euro per persoon.

Overigens is er ook goed nieuws: dit jaar zijn veel minder kwetsbaarheden ontdekt in mobiele besturingssystemen, verwacht IBM, al kan dat ook betekenen dat de eenvoudiger te vinden bugs al zijn gevonden en dat de moeilijker op te sporen kwetsbaarheden overblijven. Ook zegt dat niets over het risico dat gebruikers lopen: het inmiddels twee jaar oude Android 2.3, vol met bekende beveiligingsproblemen, is nog steeds een van de populairste Android-versies.

Malware in de echte wereld

Dit jaar bracht de gerenommeerde Amerikaanse krant The New York Times naar buiten wat iedereen eigenlijk al dacht: de Amerikaanse regering zat achter het Stuxnet-virus. Dat virus richtte zich op Iraanse nucleaire installaties; de Verenigde Staten en Israël zouden met het virus willen voorkomen dat Iran zijn nucleaire programma kan voortzetten, uit vrees dat dat kan leiden tot kernwapens.

Door Siemens gefabriceerde centrifuges werden ontregeld en Iraniërs begonnen hun eigen apparatuur te wantrouwen. Het virus verscheen in 2010 echter per abuis in de openbaarheid. Door een programmeerfout, die volgens Amerikaanse bronnen door de Israëliërs was ingebracht, verspreidde het virus zich naar een laptop van een Iraanse technicus op de kerncentrale.

Volgens beveiligingsbedrijf Kaspersky is er een verband tussen Stuxnet en Flame, malware die in mei werd ontdekt. De malware, die geavanceerder zou zijn dan Stuxnet en diens afgeleide Duqu, zou zich vooral hebben gericht op computers in het Midden-Oosten. Volgens The Washington Post was Flame ook gericht op het Iraanse nucleaire programma. Flame zou onder andere microfoons en webcams kunnen activeren, als keylogger functioneren, screenshots kunnen nemen en via Bluetooth commando's krijgen.

De echte wereld

Stuxnet is een voorbeeld van malware die zich richt op de 'echte wereld', waar digitale aanvallen fysieke gevolgen kunnen hebben. Een ander voorbeeld vond in januari van dit jaar plaats. Een aanval op systemen van een Amerikaanse vervoerder zorgde ervoor dat een treindienst werd gemanipuleerd. Treinsignalen op een bepaald traject in het Noord-Westen van de Verenigde Staten werden twee dagen lang verstoord. Het leverde treinreizigers een vertraging van vijftien minuten op, maar maakt vooral duidelijk dat de gevolgen van digitale aanvallen niet enkel abstract zijn.

In mei waarschuwde het Amerikaanse ministerie van Homeland Security, dat na 11 september is opgericht om terrorisme te bestrijden, tegen digitale aanvallen op gastransportnetwerken. Dit jaar zou er een ware aanvalsgolf specifiek op de gassector zijn gericht. Er zou sprake zijn van een gerichte operatie, maar wie er achter zat, is niet duidelijk. Een hackaanval op een Saudi-Arabische oliegigant trof 30.000 systemen, maar daar ging het om 'gewone' desktop-pc's. Desalniettemin werd de dienstverlening van het bedrijf verstoord.

Ook in Nederland zijn zogenoemde scada-systemen kwetsbaar. Die maken het mogelijk om op afstand meters uit te lezen en systemen te bedienen. Uit een reportage van EenVandaag bleek dat het bij diverse Nederlandse gemeenten en waterschappen mogelijk was om de bediening van gemalen, pompen en bruggen over te nemen.

Naar aanleiding van een achtergrondverhaal dat Tweakers in januari publiceerde over de kwetsbaarheid van scada-systemen, stelde D66 Kamervragen. Die partij wilde weten hoe het zat met de beveiliging van dergelijke systemen. Volgens de minister zijn organisaties echter zelf verantwoordelijk voor de beveiliging van hun systemen. Bovendien zouden de scada-systemen van de Rijksoverheid veilig zijn.

Internetbankieren

Waar de fysieke gevolgen van aanvallen al langer voelbaar zijn, is de financiële wereld. De fraude met internetbankieren, bijvoorbeeld door malware, stijgt al jaren. De schade bedroeg in de eerste helft van 2012 maar liefst 27,3 miljoen euro. Opvallend is dat desondanks meer dan de helft van de Nederlandse bankensites kwetsbaar bleek te zijn voor aanvallen op de beveiligde verbinding. Ook bleek de mobiel bankieren-app van ING maandenlang het ssl-certificaat van de bank niet te controleren, waardoor man in the middle-aanvallen mogelijk waren.

Een interview dat Tweakers in oktober had met Mikko Hypponen, chief research officer bij F-Secure.

Overheid neemt maatregelen

De strijd tegen cybercrime is een ongelijke. Aanvallers hoeven immers maar één keer geluk te hebben om een systeem binnen te dringen, terwijl bedrijven, softwaremakers en overheden zich tegen alle mogelijke bedreigingen moeten verdedigen. Volgens de FBI zijn hackers zelfs aan de 'winnende hand'.

Dat zorgt ervoor dat soms besloten wordt tot onconventionele - en omstreden - maatregelen. Zo brak de Nederlandse recherche in het verleden meerdere malen in op buitenlandse computers, zonder eerst om toestemming te vragen bij die landen. Dat gebeurde onder meer bij een botnet en een aantal kinderpornozaken.

Minister Opstelten van Veiligheid en Justitie wil die praktijk in wetgeving gieten, zodat bij verdenking van 'ernstige cybercrime-misdrijven' op afstand een computer kan worden binnengedrongen - zelfs als de locatie van een systeem onbekend is en zich dus in het buitenland zou kunnen bevinden. Daarbij zouden computers doorzocht mogen worden, op zoek naar aanwijzingen. Ook zouden gegevens op afstand ontoegankelijk mogen worden gemaakt. Volgens Ronald Prins van beveiligingsbedrijf Fox-IT had de mogelijkheid om terug te hacken de Dorifel-uitbraak sneller onder controle kunnen brengen, maar burgerrechtenactivisten hebben veel kritiek op de plannen.

Minstens zo omstreden zijn de plannen voor een 'ontsleutelplicht'. Verdachten van terrorisme en kinderporno zouden dan gedwongen mogen worden om hun encryptiesleutels vrij te geven. Volgens hoogleraar Bert-Jaap Koops is dat niet per definitie in strijd met het beginsel dat verdachten niet hoeven mee te werken aan hun eigen veroordeling.

Geweld is niet uitgesloten

Ook geweld in reactie op een digitale aanval is niet uitgesloten - ten minste, als die aanval onderdeel uitmaakt van een gewapend conflict. In dat geval is een digitale aanval niet fundamenteel anders dan een fysieke, vindt het kabinet. Dan moet wel duidelijk zijn waar de aanval vandaan komt, en dat is moeilijk in het digitale domein, erkent het kabinet.

Overigens kan er bij de overheid ook het een en ander beter. Uit een onderzoeksrapport van de Onderzoeksraad van de Veiligheid naar het Diginotar-incident in 2011 blijkt dat Nederland onvoldoende was voorbereid op digitale dreigingen. Volgens de voorzitter van de Onderzoeksraad, Tjibbe Joustra, houden overheidsorganisaties er te weinig rekening mee dat het op beveiligingsgebied ook mis kan gaan. Een speciale taskforce moet de informatiebeveiliging bij de overheid gaan verbeteren.

De Amerikaanse National Security Agency gaat verder. De directeur van de veiligheidsdienst, Keith Alexander, zei op de Def Con-hackersconferentie in Las Vegas dat de NSA meer controle over het Amerikaanse internet zou moeten krijgen. Alleen dan zouden digitale aanvallen van buiten de Verenigde Staten opgespoord kunnen worden.

Boete

Bekend was al dat Nederland, net als andere lidstaten van de Europese Unie, een meldplicht voor datalekken zou krijgen. Bedrijven die gegevens van burgers slecht beveiligd hebben, kunnen bovendien een boete krijgen. Dit jaar bleek dat de maximale boete die staat op een slechte beveiliging in het definitieve versie van het wetsvoorstel is verhoogd van 200.000 euro naar 450.000 euro.

Reacties (70)

[Uruk-Hai]

Ik ben eigenlijk wel blij met dit soort jaaroverzichten, heb ik gelijk een mooi overzicht voor mijn werkgevers en kennissen om naar toe te linken.

@noMSforme: ik denk dat je punt duidelijker verwoord er op neer komt dat er wel in diverse alinea's wordt gesproken over besmettingen op grote schaal, maar waarbij de naam van Windows achterwege gelaten is, terwijl als het gaat om specifieke bedreigingen voor OSX en Android, de naam van het betreffende OS er ineens wel duidelijk bij vermeld staat.

Dat vind ik ook slordig, maar om nu meteen iemand van partijdigheid te beschuldigen vind ik te ver gaan.

Je weet simpelweg niet wat er achter zit, voor hetzelfde geld dacht de auteur zelf niet aan een specifiek OS. Of Joost meende al typende dat de meeste tweakers wel zo slim zijn om na te gaan om welk OS het precies gaat als de naam er niet specifiek bij vermeld staat.

Je opmerking komt dus eigenlijk neer op een vraag om meer duidelijkheid.

[Reactie gewijzigd door Uruk-Hai op 22 juli 2024 15:15]

[H!GHGuY]

Bovendien is het zo dat op Windows het gros van de aanvallen gericht zijn op Adobe Reader, Java en Flash, zoals het artikel vertelt. Aanvallen op de browser of op Windows zelf zijn een stuk minder gangbaar dan pakweg enkele jaren geleden.

We kunnen allemaal lekker Windows bashen, maar uiteindelijk moeten we toegeven dat Microsoft al een redelijk weg heeft afgelegd als het over de veiligheid van het OS an sich gaat.

Ik begrijp trouwens het grote aantal lekken in iets als een PDF reader niet. Echt... Het enige doel van die software is om een document read-only op het scherm weer te geven. Zoveel lekken in software met die beperkte functie die bovendien op miljoenen PC's is geinstalleerd getuigd mijns inziens enkele van incompetentie van de developers.

Nog iets wat ik niet begrijp is dat er voor websites anno 2012/2013 nog altijd voor Flash gekozen wordt. Misschien een kromme vergelijking maar het is als een auto-verkoper die weigert auto's met airbags te verkopen.

Het zal allemaal wel aan mij liggen, zeker?

[maxxware]

Het grootste probleem met Windows en security is de combinatie gebruiker en applicatie-software. In theorie is Windows redelijk veilig te noemen, maar in de praktijk valt dat zwaer tegen. Oorzaken zijn:

• Uitschakelen UAC door gebruiker
• Meeste gebruikers maken zichzelf administrator en draaien dus alle programmatuur - dus ook malware - als administrator
• Een groot deel van de applicaties kan als gevolg van slecht of gemakzuchtig geschreven code alleen werken wanneer de gebruiker administrator rechten heeft

Kortom: je kunt wel zeggen dat Windows veilig is, maar dat is alleen in theorie, niet in praktijk.

[typo edits]

[Reactie gewijzigd door maxxware op 22 juli 2024 15:15]

[grol4]

Hoe is dat anders dan Linux waar je ook even een pop-up krijgt zodat het programma admin-rights krijgt. Of als een command even niet werkt er even sudo voor knallen.

Dat is gewoon een algemeen probleem.

[maxxware]

Hoeveel Linux gebruikers ken jij die standaard met root rechten werken? Dus niet via sudo maar standaard met UID/GID 0?
Ik ken geen Linux applicaties - dus geen services of achtergrond processen - die door de user gestart worden en toch root-rechten nodig hebben. Jij wel?
Op Windows wemelt het van die applicaties. Kort geleden nog bij een klant een pakketje geinstalleerd dat als aanvulling op Outlook draait. Dat pakketje draait alleen wanneer de gebruiker adminstrator rechten heeft.

[psyBSD]

*kuch*/usr/bin/ping *kuch*

Maar dat is mieren-neuken. Ping praat zo low-level tegen het netwerk dat het veel van de door de kernel geleverde abstracties (zoals TCP/IP) override.

De laatste keer dat PING op een UNIX/Linux omgeving een bekende vulnerability bevatte is op zijn minst al enkele jaren geleden.

[mkools24]

Pingen heb ik echt geen root voor nodig hoor bovendien staat deze in /bin.

[Verwijderd]

Probleem is dat de Windows omgeving een klimaat gecreeerd heeft, waar de ontwikkeling van applicaties die draaien met verhoogde rechten de normaalste zaak van de wereld is.

Als je een ontwikkelomgeving neer zou zetten waar je met verhoogde rechten juist veel minder werkt, zou het veel minder gangbaar zijn.

[FireFly]

Je staat er inderdaad van de te kijken hoeveel (maat)software je tegen komt die verwacht dat je admin bent om het te gebruiken. En dat maar voor prulletjes: om zaken in de program files folder weg te schrijven of iets in HKLM register te zetten.

Sommige gebruikers kunnen op het Windows platform dus al bijna niet meer zonder admin rechten. Lijkt me dat software ontwikkelaars "meewerken" om deze trend te bewaren.

[Anoniem: 363533]

Helemaal met je eens. In principe zou elke gebruiker gewoon altijd met een standaard account moeten werken met minimale gebruikersrechten terwijl je daarnaast een admin account heb om echt systeemzaken aan te passen. Uiteraard moeten beide accounts voorzien zijn van andere wachtwoorden, iets wat veel mensen natuurlijk ook nog vergeten.

[noMSforme]

Jij maakt het helemaal bont. Als het lek in Java zit op Linux/IOS dan is het de schuld van het OS maar in het geval van Windows niet?
Het is toch duidelijk dat de gaten in third party software zitten maar de auteur moest zo nodig even bashen op Linux/IOS/Android. Het niveau van de artikelen is eigenlijk niet meer tweakers waardig.

[H!GHGuY]

Dat zeg ik helemaal niet. Uit welke zin haal jij dat?
Als het lek in Java zit dan zit het lek in Java, punt uit.

Het punt is dat Java een attack vector is om voornamelijk Windows systemen aan te vallen. De reden daarvoor is simpel: de kosten/baten valt beter uit dan wanneer het Windows zelf aangevallen wordt. Waarom? Omdat Microsoft een stuk meer heeft geinvesteerd in de veiligheid van zijn OS.

[Henrikop]

Leuk artikel, maar er zijn ook goede dingen te melden. Zo had die redacteur van Wired al zijn ellende niet gehad als hij 2 step authentication had aangezet.

Bedrijven zoals Google, Amazon Webservices, Dropbox en zelfs Facebook bieden deze mogelijkheden al en ik gebruik ze waar het kan.

Alleen Microsoft weigert het te gebruiken en dat is ronduit slecht. Ik heb tientallen servers, databases en diensten bij Windows Azure draaien, maar mijn live ID, ofwel gebruikersnaam en wachtwoord is de enige beveiliging die ik toe kan passen. Echt raar.

Nu is 2 step authentication niet van veel waarde als je de dienst zelf hacked, maar voor veel gevallen helpt het wel degelijk tegen bijvoorbeeld phishing.

Zo geloof ik dat het vooral belangrijk is je spullen net wat beter te beveiligen dan je (virtuele) buurman.

[BlaDeKke]

Ik denk dat dit ook een vals gevoel van veiligheid geeft, het kan geen kwaad. Maar als je je gsm nummer opgeeft als 2 step autgentication , en ze hebben de database in handen, dan hebben ze ook nog je gsm nummer. Je geeft ze gewoon nog meer info... Of zie ik dit fout?

_{edit: leesteken veranderd}

[Reactie gewijzigd door BlaDeKke op 22 juli 2024 15:15]

[Henrikop]

Je kunt ook een App gebruiken bijvoorbeeld Google Authenticator (ook voor Facebook, Dropbox, AWS). Dan moet je een code intikken die synchroon loopt met de dienst. Dus geen SMS enzo. Is net als een token die je hebt van de bank. Het wordt een lang verhaal om in alle details te duiken. Maar 2 step is veiliger al dekt het niet de volledige veiligheid en doet het niet veel aan als de database erachter gehackt wordt al hebben ze dan niet meer data van jou. Het enige nadeel is dat je iets meer moet doen om in te loggen,maar dan ben je wel veiliger dan je buurman die het niet doet.

[eekhoorn12]

Het werkt toch net wat anders. Je geeft je gsm nummer door aan google zodat die, als je op een niet bekende pc werkt, naar dat nummer een sms stuurt met een eenmalige code. Deze code wordt dan gevraagd in je browser om in te vullen voordat je bent ingelogd als extra authenticatie stap. Alleen als je de beschikking hebt over dat smsje kan je dus inloggen.

Je kan dan zeggen bijvoorbeeld bij je thuis pc dat deze vetrouwd is en dus vragen ze het alleen de eerste keer dat je van die pc inlogt, maar op bijvoorbeeld school netwerken kan je hem iedere keer een sms laten sturen.

Ook al hebben ze dan dus je mobiele nummer, ze kunnen niet zo maar dat smsje zien.

[Reactie gewijzigd door eekhoorn12 op 22 juli 2024 15:15]

[H!GHGuY]

Volgens mij zoeken ze het bij Oracle (en voorheen Sun) zelf.

De update-policy en het bijhorende mechanisme van Java is belachelijk:
- Ik heb de updater op geen enkele van mijn PC's al ooit een update daadwerkelijk zien installeren. Telkens een of andere nietszeggende foutboodschap. Welke Jan Modaal haalt het dan in zijn hoofd om zelf de update binnen te hengelen?
- Welke update-policy laat de _vorige_ versie gewoon staan? Je installeert een nieuwe versie gewoon naast de oude kwetsbare versie. Wat voor zin heeft dat?

Bij mij vind je geen Adobe Reader, Java of Flash. Het web werkt goed genoeg zonder.
Voor die uitzonderlijke keren dat het echt moet op een website die te vertrouwen is neem ik mijn werk-PC wel.

Trouwens begrijp ik de populariteit van diensten als bit.ly an goo.gl helemaal niet. Wie wil er nou klikken op een obscure link die je naar een onbekend addres stuurt? Voorheen kon je aan de domain-naam en het pad op de server nog wel iets vermoeden over betrouwbaarheid, nu kan iedereen je redirecten naar een site met malware.

[Rafe]

Ik heb de updater op geen enkele van mijn PC's al ooit een update daadwerkelijk zien installeren. Telkens een of andere nietszeggende foutboodschap.

Of wat ik zelf op mijn laptop had: melding dat er een update is, maar zodra je er op klikt te zien krijgen dat je al de laatste versie hebt. Dan ga je 'm inderdaad op den duur negeren.

Welke update-policy laat de _vorige_ versie gewoon staan? Je installeert een nieuwe versie gewoon naast de oude kwetsbare versie. Wat voor zin heeft dat?

De reden was compatibiliteit. Overigens is dat gedrag sinds JRE6 update 10 (release eind oktober 2008) al gewijzigd om standaard nieuwe versies over de oude heen te installeren.

Trouwens begrijp ik de populariteit van diensten als bit.ly an goo.gl helemaal niet.

Die waren nog wel nuttig voordat Twitter hun eigen URL shortener introduceerde. En als je geil bent op stats kan je via die diensten te weten komen hoe vaak mensen op jouw linkjes klikken. Er zijn browserplugins die dergelijke short URLs voor je kunnen expanden zodat je weet waar je heen gaat.

[Reactie gewijzigd door Rafe op 22 juli 2024 15:15]

[H!GHGuY]

De reden was compatibiliteit. Overigens is dat gedrag sinds JRE6 update 10 (release eind oktober 2008) al gewijzigd om standaard nieuwe versies over de oude heen te installeren.

Vreemd... Ik herinner me zelfs met update 29, 30 en hoger dat ze nog naast elkaar geinstalleerd stonden...

Die waren nog wel nuttig voordat Twitter hun eigen URL shortener introduceerde. En als je geil bent op stats kan je via die diensten te weten komen hoe vaak mensen op jouw linkjes klikken. Er zijn browserplugins die dergelijke short URLs voor je kunnen expanden zodat je weet waar je heen gaat.

Leuk voor de persoon die die shortener gebruikt. Niet leuk voor mij. Waarom zou ik een mogelijk onveilige plugin extra moeten installeren om die links to kunnen controleren.
Dat is het probleem verschuiven. Echt, ik zie nog altijd het voordeel van die diensten niet.

[psyBSD]

Ik ben wel benieuwd...

Is er hier nu iemand die DIGID volledig heeft afgezworen?

Ik zou het graag willen, DIGID gebruiken is vergelijkbaar met de sleutel tot mijn huis samen met mijn credit-card en pin-pas samen met de PIN aan de gevel buiten naast mijn deur te hangen... DigID is onveilig, onverantwoord en onbetrouwbaar.

Echter, met de introductie van het BSN (vroeger mocht ik mijn SoFi nummer aan niemand geven behalve mijn werkgever en de belastingdienst... waarom is dat bij het BSN ineens anders?) elke commerciele partij die iets denkt te moeten doen voor de overheid heeft ineens toegang tot dat nummer... mijn zorgverzekeraar in de eerste plaats. Maar ook andere partijen die voor de minste zaken een kopie van mijn rijbewijs of paspoort vragen... Het in willen zien, ok... maar een kopie maken?!? Is het hek van de dam... en ligt mijn identiteit op straat voor het oprapen.

En dan hebben we ook nog eens een minister van Justitie... de idioot...

Opstelten vindt het ook niet raar dat de PVV de gegevens opvraagt bij journalisten, en niet de NCTb of DKDB zelf. De partij krijgt zo inderdaad de beschikking over het BSN en andere gegevens van de journalist, maar daar kan de PVV verder niets mee, zegt de minister.

Bron: http://binnenland.nieuws....ens_journalisten_opvragen

Die gegevens die de PVV opvraagt zijn genoeg om identiteitsdiefstal te plegen en je bij diverse (semi-) overheden en verzekeraars voor te doen als de persoon in kwestie.

Laatst had ik genoeg aan mijn BSN nummer om informatie over openstaande rekeningen bij mijn zorgverzekeraar telefonisch op te vragen. Dit werd gewoon via de telefoon doorgegeven. Was wel makkelijk... maar WTF!?! - Ik had iedereen kunnen zijn, van de portier bij mijn werk, een willekeurige HR medewerker bij 1 van de 10 bedrijven waar ik de laatste 10 jaar gewerkt heb. Mijn bank, of een van mijn voormalige zorgverzekeraars.

Met het DIGID hoef je nieteens fysiek aanwezig te zijn, je kunt de meeste fraude rustig plegen uit je luie stoel in rusland.

Aanvulling:

En we hebben het hier niet over een zeldzaam hypothetisch risico:

http://www.rijnmond.nl/ni...peerden-door-digid-fraude

[Reactie gewijzigd door psyBSD op 22 juli 2024 15:15]

[Anoniem: 335382]

Helemaal mee eens. Ik denk ook dat het een keer grootschalig mis gaat, zeker omdat ik weinig vertrouwen heb in de veiligheidssystemen van de overheid.

[chappie112]

Ik ben het helemaal met je eens dat DIGID niet bepaald veilig is, maar als student zijnde heb je het gewoon nodig (anders kun je niet inschrijven voor het volgende jaar).
M.a.w. het wordt je gewoon verplicht om deze (onveilige) diensten te gebruiken terwijl het veel beter kan.

[Petje72]

De digitale wereld is zo veilig of onveilig als je zelf wil. De grootste verantwoordelijkheid ligt toch bij de gebruiker zelf vind ik. Of deze nu veel of weinig kennis heeft van computers je draagt zover kan zelf zorg voor computerbeveiliging thuis. Meeste mensen willen geen geld uitgeven voor beveiliging op hun computer, zoals virusscanner, antimalware etc Terwijl ze b.v. wel honderden euro's extra betalen voor 8 airbags in hun auto terwijl de kans op een aanrijding veel kleiner is dan dat je computer gehacked of besmet wordt (dit is wel een beetje een extreme vergelijking ). Ook gebruik van simpele wachtwoorden, overal dezelfde gebruiken of op elke site je persoonsgegevens maar invullen (om b.v. mee te doen aan wazige prijsvragen) is een veel gemaakte fout.

Natuurlijk ligt er ook een grote verantwoordelijk bij bedrijven en overheden maar daar kunnen we als burger ze ook op aanspreken en wijzen. En vind je een digitale dienst niet veilig en heb je hem niet perse nodig in je leven, zeg hem dan op of gebruik hem niet.

[inorde]

Ik kan me aansluiten bij dit bericht. Er zijn hordes mensen aan het "rijden" op de digitale snelweg zonder rijbewijs. Ze hebben geen idee wat ze aan het doen zijn en klikken maar wat raak, ze vullen persoonlijke gegevens in zonder na te denken wat ermee gebeurt, alleen maar om een kortingsbon van 2 euro te kunnen bemachtigen.

Dit is een groot probleem. Ik zeg niet dat mensen een internetrijbewijs moeten halen of dat we deze mensen de toegang tot internet moeten ontzeggen. Maar het is wel een belangrijke reden dat het zo'n puinzooi aan het worden is.

Een ander probleem is dat veel bedrijven hun zaken niet voldoende beveiligen. Gemak staat vaak boven beveiliging. Er zijn richtlijnen en standaarden waar je je aan kunt houden om jezelf als bedrijf te dwingen veilig om te gaan met data (PCI DSS). Hier hebben veel bedrijven nog nooit van gehoord.

En dan nog, een klein foutje of zwak punt, een goed uitgekiende aanval of een mooie zak geld voor een minder trouwe werknemer kan nog je beveiliging omzeilen.

[Anoniem: 428562]

Ook in het dagelijks leven geven mensen heel gemakkelijk hun persoonlijke gegevens weg op kortingsbonnen, enquêtes, kopie id kaart enz.

PCI DDS is ook niet de heilige graal, in de credit card industrie is het een eis dat er voldaan wordt aan PCI DDS als je met Credit card gegevens werkt. Hoeveel Credit card nummers worden er wel niet gestolen ?

[army]

PCI is leuk, maar kent ook voldoende fouten. De meest mooie blijft wel dat je verplicht bent om bezoekers aan je pand te voorzien van badge met "Visitor" erop, maar er wordt niet verplicht dat alle medewerkers een badge met "Medewerker" erop dragen. Je doet die visitors badge op het toilet af en je bent ineens een medewerker. PCI DSS is leuk, maar leidt in de praktijk tot tick-in-the-box-management met bijbehorende beveiliging.

PCI is leuk als startpunt, maar dan stopt het ook wel. Veel bedrijven die PCI zijn gaan volgen zijn onder aan de streep vaak onveiliger. Zeker als het op wachtwoordbeleid aankomt en dat is de meest mooie aanvalshoek vaak. Wachtwoorden worden opgeschreven, zijn in sommige gevallen exact 8 karakters, beginnen met een hoofdletter en eindigen vaak met twee cijfers aan het einde. De te doorzoeken namespace om een wachtwoord te kraken is ineens een heel stuk kleiner geworden.

Standaarden zijn leuk, maar zolang het op een OS bijvoorbeeld geknutseld is en niet erin is het eigenlijk waardeloos en een time waster. Zo ook met PCI DSS in veel gevallen en kan zo in de la bij de ISO 9000 certificeringen als er geen mentaliteits verandering komt.

[Ook al Bezet]

En vind je een digitale dienst niet veilig en heb je hem niet perse nodig in je leven, zeg hem dan op of gebruik hem niet.

Probleem is alleen dat je pas weet dat een dienst niet veilig is nadat het is misgegaan, iets met kalveren en putten. Natuurlijk is iedereen zelf verantwoordelijk voor de veiligheid van z'n eigen systeem, als je zonder nadenken op iedere leuk uitziende link klikt, een oude browser gebruikt en geen virusscanner hebt dan heb je de gevolgen alleen aan jezelf te danken. Maar, je kunt moeilijk van een KPN klant verwachten dat hij weet of KPN z'n zaakjes wel op orde heeft. En als jij gehackt wordt doordat een advertentienetwerk op nu.nl gehackt is, tsja, dan kun je daar niet veel aan doen (aangenomen dat je plugins e.d. wel geüpdate waren.

Als een bedrijf als Oldfjel z'n veiligheid niet op orde heeft wordt het, terecht, als een overheidstaak gezien om het bedrijf te straffen. Waarom zou dat met digitale veiligheid anders zijn? Wat mij betreft moeten de verantwoordelijken binnen bedrijven en overheden ook hoofdelijk aansprakelijk kunnen worden gesteld als ze nalatig zijn geweest. Geen enkele software is natuurlijk waterdicht, maar als je verouderde software niet update of standaard wachtwoorden gebruikt, dan vraag je gewoon om problemen.

[Anoniem: 465985]

Inderdaad.

Ik download veel, ik heb een virusscanner die niet super aangeschreven staat (Microsoft Security Essentials), draai altijd op een account met volledige rechten. Maar toch heb ik nooit last van een virus.
Mensen zijn de zwakste schakel in de bescherming tegen malware.

[OptimusPrima]

Een maximale boete van 450.000 voor het lekken van klantgegevens wanneer blijkt dat de beveiliging ondeugdelijk is klinkt hoog, maar voor bedrijven met miljarden aan omzet stelt dit nog steeds niets voor.

Ik vraag me af waar de klanten in te toekomst hun schade kunnen verhalen bij identiteitsfraude en dergelijke.

[Anoniem: 428562]

Ik denk dat er eerder een wet komt die het bedrijven mogelijk maakt schade te verhalen op klanten die onzorgvuldig met inlog gegevens omgaan.

[BoringDay]

Een bug is geen fraude, hoe wil je dit gaan straffen?
Fraude is iets wat men bewust doet en weet van heeft.
Een bug is veelal een nog niet eerder naar voren gekomen lek.

Er zal geen bedrijf meer een webservice te durven ontwikkelen als men voor elke fout tonnen moet gaan betalen. Dan mag je het lekker zelf doen.

Want toon maar aan dat de fout niet in SQL/Database/Programmeertaal/OS zelf zit.

Maat werk valt amper in te plannen, je zal zien met dat soort risico's dat software in prijs hard zal gaan stijgen om de kosten te kunnen dekken.

Niet elk bedrijf verdient miljarden, dat zal eerder een stuk minder zijn.

[Marc050]

In november zou 35 procent van de gebruikers kwetsbaar zijn geweest voor een aantal problemen in Java die in augustus werden ontdekt en die het mogelijk maken om op afstand eigen code uit te voeren. Een patch die die bugs oploste maar zelf nieuwe kwetsbaarheden introduceerde, is geïnstalleerd op 21,7 procent van de pc's.

Is dit al opgelost?

[omnislash]

Zou opgelost moeten zijn vanaf Java 7 update 7 volgens deze bron.
We zijn inmiddels bij Java 7 update 10.

[cc12]

Denkt de overheid soms dat het verhogen van de maximale boete voldoende is om datalekken bij bedrijven te doen verminderen? Waarschijnlijk is een actievere opsporingsrol of het verbeteren van de positie van klokkeluiders veel belangrijker.

[army]

Dit is waar veel beginnende ICT'ers op stuklopen. Bedrijven doen niet in zwart-wit beveiliging, maar in risico management en dat is waar de verwarring ontstaat. Als de kosten van een incident maal het aantal incidenten per jaar minder is wat er wordt verdient dan is het interessant voor het bedrijf. De overheid past nu deze berekening aan door te zeggen dat het extra geld kan gaan kosten per incident en dan zullen bedrijven aan de bak moeten om het risico terug te brengen. Want in sommige gevallen zijn bedrijven ook verplicht om het geld voor z'n risico daadwerkelijk te reserveren en gaat dus ook van hun werkkapitaal af. Basel 2 en 3 zijn op dat vlak wel aardige voorbeelden.

[rickboy333]

Tja hoe stop je hackers. Als er een voordring komt op het feit dat je geen madefile programma's op je PC mag hebben. Krijg je weer die hackers die weer op PC's van onschuldige mensen een malware verspreiding systeem op gaan installeren.

Ik doe Mijn bank zaken op de Opa en Oma manier. gewoon een acceptgiro in de bus douwen. Dat is net zo veilig. Want ik ken weer zon voorbeeld. Een kennis is €20.000,- kwijtgeraakt omdat hij werd doorverwezen op de officiële ING site, naar een fake site.

Dus hij zat dat op de beveiligde verbinding ban de ING. Toen hij op ''klik hier om u bank gegevens in te vullen'' klikte. Werd hij doorverbonden naar een fake site. maar hij had niks door, dus. Hij voerde zijn gegevens in. En toen stond er ''sorry maar u gegevens zijn onjuist probeer het opnieuw''.

En daarna was hij weer op de officiële ING site. (Gelukkig was de ING zoo vriendelijk om €15,000 terug te storten dankzij hun enorme goede beveiliging systeem.)

Maar hackers zijn idd bijna niet te stoppen. Dit jaar zijn zo veel bedrijven gehackt. zoals Blizzard, Sony, en noem maar op. Daarnaast zijn er ook veel DDOS aanvallen geweest op veel overheids sites.

Maar ik vind ook. Kijk wij op Tweakers weten meestal wel hoe we met malware moeten omgaan. maar er zijn ook mensen die gewoon niks van PC's weten.
in 2010 was volgens mij IE 6 nog de meestgebruikte browser in Nederland, das zo onveilig als de tering.
En bijvoorbeeld oudere mensen, die gewoon net weten hoe ze internet moeten opstarten. Hoe wil je tegen die mensen zeggen
zorg dat dit, zorg dat zus en zo in orde is. zorg dat je anti virus upgradede is bla bla bla noem maar op. Die mensen vallen van hun stoel af.

En dan heb ik nog niet over tieners die ik weet niet wat op hun PC installeren. bijvoorbeeld ''coole'' muisaanwijzers, bewegende .gif smilies voor hun e-mails,en een aangepast thema. van een madefile sites.

Maar ook Cracks van torrent sites. Om zo gratis een illegaal spel te spelen. maar jaá in 40% van die cracks zit wel mooi een Trojaantje of een backdoor verschuild
En te zwijgen van addons die op je browser zitten.
Mensen klikken gewoon 10 keer op next als ze wat willen installeren. maar lezen ho maar.

Daarnaast is het ook weer zo dat die anti virus zooi nog kei veel ram geheugen kost.
mijn virus scanner is gelukkig niet veel, maar als hij scant slokt hij Ram geheugen.
Mijn zone alarm is 1.5 GB als real time protectie aan staat, Mijn anti malware spyware terminator 2012 is ook best wel veel, Windows firewall is ook al wat geheugen.
ik heb 4 GB (heb helaas maar 2 ram banken) maar ik heb zowat nog maar 3 Gb beschikbaar omdat all die beveiligings shit zo veel geheugen vreet. (en nog - 500 mb voor rand programmas/drivers).

Daarnaast heb ik als extra veiligheid nog
- TrueCrypt
- PassReminder
- Prey
- Ghostery

Dus ik weet nog niet echt een oplossing. (misschien voorlichting op middelbare scholen)
Maar ik blijf voorlopig Acceptgiro's invullen.

[Reactie gewijzigd door rickboy333 op 22 juli 2024 15:15]

[vaagisdenaam]

Hackers zijn inderdaad niet te stoppen. Het zijn er veel meer dan dat er beveiligingsmedewerkers bij bedrijven zijn.

Ik denk dat voorlichting inderdaad een goeie is, met een beetje computerkennis kun je al een heel eind komen, want vaak is het niet veel meer dan een malware scanner installeren en draaien, dat is ook alles wat ik doe. Dat, en nadenken voordat je ergens op klikt/inlogt etc.
Hoe vaak ik van familie nog van die doorstuurmailtjes krijg, dat is ongelooflijk. Diezelfde mensen klikken waarschijnlijk ook doodleuk op elke banner als er staat dat ze weer eens 100.00 euro hebben gewonnen of kans maken op de nieuwe fiat 500. Dat is het probleem, en niet beveiligingslekken in software. Hackers komen vaak al gemakkelijk binnen omdat mensen een beveiligingsvraag gebruiken waarvan het antwoord op hun facebook te vinden is. "Wat was de naam van je eerste huisdier?" en dan op facebook, openbaar, een kinderfoto zetten getiteld: "Ik met Russel in het bos!"

Jij zegt ook dat er veel mensen zijn die niets van pc's weten, dat klopt. Maar zouden die mensen dan wel een pc moeten gebruiken? Iemand die geen rijbewijs heeft zie je toch ook niet een auto besturen? Daar haal je ook eerst een rijbewijs voor, zoals iemand hierboven geloof ik al zei? Internetbankieren? Prima, doe maar een minicursusje.

Het probleem is niet de hakcers, maar de eindgebruikers. Die hebben geen benul van wat ze doen en hoe ze iets zouden moeten doen.
Ik hou mijn hart vast nu iedereen en hun moeder die geen pc gebruiken "want dat is te lastig" allemaal tablets gaan gebruiken. Als de virussen daarop eenmaal voet aan de grond krijgen wordt het denk ik echt een fiasco. En wat als iedereen dadelijk een smartphone heeft?

Edit: zinsbouw

[Reactie gewijzigd door vaagisdenaam op 22 juli 2024 15:15]

[Anoniem: 317721]

Als je toch reageert op: "En toen stond er ''sorry maar u gegevens zijn onjuist probeer het opnieuw'', ben je een sukkel!

ING maakt geen grammaticale blunders van de ergste soort als u gegevens in plaats van uw gegevens!

[Anoniem: 465985]

Top dat er een keer niet oneindig gebashed wordt op Windows.
Ze hebben de afgelopen jaren hun best gedaan hun reputatie op te hogen, en dat is gelukt ook. Ondanks dat ze het grootste OS zijn en daarmee het voornaamste doelwit, wordt er bijna alleen nog maar indirect (via Adobe Reader en Java) aangevallen.

[Verwijderd]

Ze hebben wel hun best gedaan om de situatie te verbeteren, maar ze zijn ook degenen geweest die het meeste achterliepen.

Als je in 2002 een XP heet aan het internet koppelde was het gelijk geinfecteerd met een heel scala van virussen en malware. Terwijl je als je een distributie van Linux heet aan het internet koppelde er niets aan de hand was.

Het voornaamste doelwit doordat ze de grootste zijn heb ik heel vaak horen vallen, maar ik denk dat dit een toevallige bijkomstigheid is, die inderdaad wel in het voordeel uitpakt voor de malware schrijvers. Het is nou niet dat je een post-doctorale graad nodig hebt om een virus voor Windows te schrijven. Het is eerder kinderspel.

Kijk naar andere criminaliteit. Ooit waren de banken zelf het primaire doel voor overvallers. Deze kregen steeds meer beveiliging en bescherming en hierdoor ging men over tot het overvallen van winkels. Dat was gewoon een stuk makkelijker. Nu deze zich hiertegen beginnen te bewapenen, worden huizen van bejaarden aantrekkelijk.

Zo is het ook bij Cybercriminaliteit. Vroeger richtte men de aanvallen op de servers en de infrastructuur van de banken. Later kwam men er achter hoe makkelijk het was gebruikers te foppen die onnodig veel rechten op hun client computer hebben.