RSA ontkent geheime deal voor inbouwen 'bekende' backdoor

RSA ontkent het bericht van persbureau Reuters dat het bedrijf een deal met de Amerikaanse geheime dienst zou hebben gesloten om een algoritme met backdoor in zijn producten als standaard in te stellen. De bewoording laat ruimte dat het Reuters-bericht wel deels klopt.

RSA ontkent een beschuldiging in de pers naar eigen zeggen 'categorisch'. Het bedrijf verwijst daarbij naar de claim dat er 'een geheim contract was met de NSA om een random number generator in RSA's Bsafe-encryptiebibliotheken in te bouwen, waarvan bekend was dat die kwetsbaar was'. Reuters claimde zaterdag dat de NSA tien miljoen dollar had betaald aan RSA om een inmiddels omstreden algoritme als standaard in te stellen in zijn beveiligingsproducten.

Volgens RSA was de relatie met de NSA niet geheim. Het betreffende Dual_EC_DRBG-algoritme werd volgens het bedrijf in 2004 als standaard ingesteld om de encryptie sterker te maken en de NSA zou toen een goede naam hebben gehad op dit gebied. Verder stelt RSA dat gebruikers altijd de keuze hebben gehad een ander algoritme te kiezen en de betreffende nummergenerator in september 2013 publiekelijk te hebben laten vallen na advies hierover van het NIST.

Ten slotte zegt het bedrijf geen details over overeenkomsten met klanten bekend te maken: "We hebben echter nooit een contract gesloten met het doel om RSA-producten kwetsbaar te maken of potentiële backdoors te introduceren die door iedereen te gebruiken zijn."

De bewoordingen laten ruimte open dat er wel degelijk een contract met de NSA was om de rng als standaard in te stellen. RSA lijkt zich te verweren met een ontkenning dat het bedrijf wist dat de rng kwetsbaar was. In september van dit jaar bleek dat de Amerikaanse inlichtingendienst een backdoor in het algoritme heeft ingebouwd.

Reacties (59)

[mtoneman]

Dit soort "damage control" is nogal lastig vol te houden als al in 2007 crypto/security guru Bruce Schneier de problemen met dit algoritme uitvoerig heeft belicht in b.v. Wired. Het zou wel echt ongelofelijk incompetent en naïef zijn om te blijven vertrouwen op NIST/NSA na de publicaties in 2007, en dat terwijl er betere algoritmes beschikbaar zijn.

De TL;DR:

"We don't know where the constants came from in the first place. We only know that whoever came up with them could have the key to this backdoor. And we know there's no way for NIST -- or anyone else -- to prove otherwise.
This is scary stuff indeed.
...
My recommendation, if you're in need of a random-number generator, is not to use Dual_EC_DRBG under any circumstances. If you have to use something in SP 800-90, use CTR_DRBG or Hash_DRBG.

In the meantime, both NIST and the NSA have some explaining to do."

Bronnen:
http://www.wired.com/poli...7/11/securitymatters_1115
https://www.schneier.com/...7/11/the_strange_sto.html

[aswelter]

en uit die blog

This is how it works: There are a bunch of constants -- fixed numbers -- in the standard used to define the algorithm's elliptic curve. These constants are listed in Appendix A of the NIST publication, but nowhere is it explained where they came from.

What Shumow and Ferguson showed is that these numbers have a relationship with a second, secret set of numbers that can act as a kind of skeleton key. If you know the secret numbers, you can predict the output of the random-number generator after collecting just 32 bytes of its output. To put that in real terms, you only need to monitor one TLS internet encryption connection in order to crack the security of that protocol. If you know the secret numbers, you can completely break any instantiation of Dual_EC_DRBG.

[Acidfire]

Voor de wiskundig geïnteresseerden: hier een filmpje over hoe de NSA die rng precies zwak gemaakt heeft https://www.youtube.com/watch?v=ulg_AHBOIQU (Numberphile)

[Eagle Creek]

Het filmpje is crypto "one o one" en maakt duidelijk dat het niet zozeer de techniek is die voor zwaktes zorgt maar de procedures. Zeer interessante video die best gedeeld mag worden mi!

Een "deterministic random number generator" (ook wel pseudo RNG genoemd) zorgt al in de basis voor een kwetsbaarheid. Wat je wilt is je verkregen geheim (output) zo random is als mogelijk. Door bijvoorbeeld temperatuur in combinatie met de tijd in milliseconden in combinatie met ruis (atmospheric noise) te combineren: zaken die realistisch gezien nooit na te bootsen zijn.

Door gebruik te maken van pseudo random (wat op zichzelf geen probleem hoeft te zijn want echt random is altijd een discussiepunt) en de bouwstenen daarvoor neer te leggen bij een partij die je mogelijk niet vertrouwt (want daar wringt de schoen), maak je elke beveiliging die voortkomt uit dat basisprincipe feitelijk waardeloos. Het algoritme kan nog zo goed zijn, als je weet welke "geheimen" zijn gebruikt is de bescherming nihil. Zoals in de video naar voren komt kan iedereen zijn eigen seed gebruiken maar als je als kwaadwillende in staat bent lang genoeg te monitoren welke random data eruit komen kun je uiteindelijk het patroon eruit halen. En daarmee ben je in staat de sleutel te achterhalen.

een systeem van versleuteling moet even veilig zijn, zelfs als alles behalve de sleutel over het systeem publiek bekend is.

(principe van Kerckhoffs)

Wat mij - zoals vaker - weer opvalt hierbij is dat het merendeel van de informatie al openbaar was. En er tal van mensen zijn die ervan af hebben geweten. Bij de grotere "schandalen" is het vaak niet zozeer een kwestie van de informatie zelf maar weten waar je de informatie moet halen.

Het feit dat grote bedrijven - met een bepaald publiek vertrouwen - hieraan meedoen (al dan niet bewust/onbewust met/zonder druk) maakt dat het schokeffect voor velen toeneemt. De vraag die daarbij blijft hangen is natuurlijk: wat is nog wel betrouwbaar? Er zijn maar weinigen die echt over de expertise beschikken om de gebruikte technieken van A tot Z door te lichten en op waarde te schatten. Een mooi voorbeeld vind ik dan ook het recente Cryptografen halen geld op voor audit van Truecrypt-code. Laten we maar eens serieus kijken of de aannames wel juist zijn .

[Reactie gewijzigd door Eagle Creek op 23 juli 2024 03:21]

[Verwijderd]

Voor het versleutelen van een bericht heb je natuurlijk niets aan een echt random reeks. Het idee is n.l. dat je de seed via public-private-key encryptie overstuurt en de rest van het bericht versleutelt via de random generator. Zowel de zender als de ontvanger moet de zelfde reeks genereren.

Als de reeks random getallen lang genoeg is kan de NSA dus de seed achterhalen en het bericht ontcijferen. Als je b.v. om de 1000 karakters een nieuwe seed overstuurt moet de NSA het bericht dus niet meer kunnen ontcijferen. Dat maakt het minder efficiënt, maar wel veiliger.

[Alex3]

Zo werkt het niet. Via publickey-encryptie kun je de sleutel van een symmetrische encryptiemethode versturen. Daarmee wordt dan het eigenlijke bericht gecodeerd.

[eheijnen]

Wat ik me afvraag:
Hoe beschermt de Amerikaanse overheid zich zelf tegen hun eigen backdoors.

[Verwijderd]

NSA heeft eigen geheime algoritmes voor de amerikaanse overheid.

Wikipedia heeft er een kleine omschrijving van, met alleen een paar namen van algoritmes verder is er geen publieke informatie over "suite A"

https://en.wikipedia.org/wiki/NSA_Suite_A_Cryptography

[eheijnen]

Interessant !!
Thnx !

[jGS]

Blijkbaar is de input/methode om aan P & Q te komen in het filmpje enkel bij de NSA zelf bekend. Dit achterhalen wanneer niet gekend zou met een grote cluster van super computers jaren duren.
Gezien de NSA ze zelf heeft gegeven weten ze ook precies hoe ze aan de getallen zijn gekomen, maar voor derden vrijwel onmogelijk om er aan te raken.

[Alex3]

Nee, de sleutels om aan P en Q te komen zijn bij de NSA bekend. Maar je kunt ook van eigen sleutels uitgaan, en dan kan de NSA het niet ontcijferen.

[eheijnen]

Benieuwd of dit "knappe koppen" op het idee heeft gebracht om dit via een GRID (lees: botnet) te kraken. Die mensen zullen dat wellicht niet openbaar maken.

[bed76]

Niet, en dat is nou juist de bedoeling, vrees ik. Zo kan de NSA ook info uit eigen gelederen halen zonder dat de betreffende instantie daar weet van heeft. Ze hoeven dan geen moelijke procedures, vriendjespolitiek of druk uit te oefenen om bepaalde (vertrouwelijke) informatie te achterhalen; ze kijken gewoon zelf even.

Edit: typo's

[Reactie gewijzigd door bed76 op 23 juli 2024 03:21]

[eheijnen]

Begint een beetje op "Water Gate" te lijken....

Goeie info btw.

[defixje]

Thanks voor het filmpje. Dit maakt het voor iedereen wat duidelijkder hoop ik.

Zo zie je maar weer, met wat monitoring is de uitkomst gewoon te voorspellen, en daarom is het aftappen van data zo belangrijk.

[Verwijderd]

Feitelijk verklaren ze helmaal niets gezien deze uitspraak: "Nooit een contract gesloten met het doel om RSA-producten kwetsbaar te maken of potentiële backdoors te introduceren die door iedereen te gebruiken zijn, hoe bedoelen ze? Is de NSA iedereen dan?

Wij van WC eend.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:21]

[Probook8979]

Thanks voor het filmpje. Heel interesant om naar te kijken.

+1

[graey]

"We hebben echter nooit een contract gesloten met het doel om RSA-producten kwetsbaar te maken of potentiële backdoors te introduceren die door iedereen te gebruiken zijn."
Niet door iedereen, slechts door specifieke partijen dus? Vreemde zinsnede.

[trogdor]

Ja precies, niet door iedereen, maar alleen de NSA.
Of wie er genoeg geld betaald.
Voorspelling: dit luidt het einde in van RSA als bedrijf.

[mtoneman]

Zoals gebruikelijk bij de damage control rondom de Snowden-onthullingen zit er veel verstopt in de formulering en taalgebruik. Ik denk dat ze hiermee handig gebruik maken van het feit dat waarschijnlijk de NSA de enige partij is die weet wat de "magic numbers" precies zijn en daarmee ook de enige partij is die misbruik kan maken van de back door.

[Whatts]

RSA krijgt hier (verdiend) toch een flinke deuk in zijn imago.
Als je dit als beveiligings-bedrijf (bewust of onbewust) toelaat, dan zet je je hele bedrijf op het spel...

[matty___]

Eigenlijk kun je net zo goed de tent sluiten. Je krijgt deze imageschade nooit meer rechtgebogen want bewijs maar eens dat er geen backdoor inzit.

[halofreak1990]

Bewijs eerst maar eens dat het wel zo is. Onschuldig tot het tegendeel bewezen is. En dat dient per algoritme opnieuw geëvalueerd te worden.

[Verwijderd]

Vertrouwen komt te voet en gaat te paard.

Onschuldig tot het tegendeel bewezen is geldt alleen voor in de rechtszaal, het geldt niet voor vertrouwen.

Het zou me niet verbazen als RSA door meerdere klanten aangeklaagd gaat worden.

ASML maakt er bv ook gebruik van.

[kakanox]

Onschuldig tot het tegendeel bewezen is geldt hier, maar niet in het land van NSA & RSA

[Rey Nemaattori]

Bewijs eerst maar eens dat het wel zo is. Onschuldig tot het tegendeel bewezen is. En dat dient per algoritme opnieuw geëvalueerd te worden.

Zeg dat maar tegen die gasten die al 10 jaar in G-bay vast zitten zonder veroordeling...dat principe geld daar al jaren niet meer.

[halofreak1990]

Dat principe heeft daar nooit gegolden. Daar is Guantánamo immers voor; de normale rechtsgang bypassen zodat men kan doen en laten wat men wil.

[Verwijderd]

Niet per algoritme, maar per bedrijf natuurlijk. En RSA is (in dit verband) een bedrijf. Als je door een mens belazerd bent, vertrouw je de persoon niet meer, ook niet als hij de volgende dag weer een mooi aanbod voor je heeft.

[Mijzelf]

Als een bedrijf meerdere producten maakt en er is er één die het laat afweten, is dan meteen het hele bedrijf ruk? Wat als de rest van het aanbod wel gewoon goed is? Maakt dat niets uit?

Als er 'gewoon' iets mis is met een product, wel, kan gebeuren. Maar als een bedrijf willens en wetens een product waardeloos maakt, sterker nog, erger dan waardeloos, aangezien het *lijkt* te werken. Maar encryptie met backdoor = géén encryptie.

Blijkbaar wel, want we kopen ook nog steeds gewoon gehakt, ondanks dat daar paardenvlees in kan zitten. Beetje hypocriet als je het mij vraagt.

Is nogal wat anders. Paardevlees is gewoon vlees, en je zult er niets van krijgen. Het product is niet functioneel anders dan wat je verwachtte te krijgen.
(Neemt niet weg dat het gewoon op het etiket had moeten staan.)

[halofreak1990]

Maar de RSA heeft, naar zij zeggen, het vertrouwen gehad in de NSA en dus hun algoritme gebruikt. In dit geval zouden niet wij moeten klagen over oplichting of anders wel het schenden van vertrouwen, maar de RSA.

[Verwijderd]

Met het verschil dat *wij* geen experts zijn, maar RSA, als het goed is, wel experts in dienst heeft. En dan geldt: Vertrouwen is goed, maar controleren is beter.

Net zoals iedere constructeur zijn berekeningen laat controleren als deze kritisch zijn.

[THA_ErAsEr]

Sinds de onthullingen is de koers van het moederbedrijf met 5% gestegen. Dus...

Als er een negatieve impact zal zijn, gaat dit op lange termijn misschien, maar dan nog. De mensen die kiezen welke encryptie ze in hun software willen, zijn niet de meest technische personen, maar het management. Zij zien eerder naar $ ipv mogelijke inbraken.

[eheijnen]

Tijdje terug is hier al eens over gepubliceerd. Niet specifiek RSA maar het NSA programma op zich. Voor dit soort activiteiten bestaat een budget van ca. $ 250 Mln. Dat RSA dit ontkent verbaasd niet. Een van de best aangeschreven bedrijven op hun gebied.

In volgend artikel (een van de velen) staat volgend statement:

According to an intelligence budget document leaked by Mr. Snowden, the N.S.A. spends more than $250 million a year on its Sigint Enabling Project, which “actively engages the U.S. and foreign IT industries to covertly influence and/or overtly leverage their commercial products’ designs” to make them “exploitable.” Sigint is the abbreviation for signals intelligence, the technical term for electronic eavesdropping.

[Verwijderd]

Dat geeft ook aan dat het geen kattenpis is waar we het hier over hebben. We hebben het hier over zo ongeveer "Gatekeeper" in de film "The Net". Oftewel een security feature dat alomvattend is en nu zo lek blijkt als een mandje.

[eheijnen]

Het kan ook niet anders dan dat ze op deze manier data verzamelen. Het is technisch niet haalbaar om alle data via brute-force te ontsleutelen. Daarnaaast is dit meer toegangkelijk. In 1996 deden al verhalen de ronde dat in Novell Netware backdoors ingebouwd waren op bevel van de Amerikaanse overheid.

Militaire/overheids technologie loopt ver vooruit loopt op wat publiek beschikbaar en ook wel bekend is. Ik neem aan dat Amerikaanse overheid supercomputers heeft die de EXA-Flop al lang gepasseerd zijn en opslagtechnologie waar wij nog niets over gehoord hebben.

RSA is een van de grootste spelers in hun markt. Het kan niet anders dan dat van hun gevraagd werd hieraan deel te nemen. Zoals dat ook met andere grote partijen is gebeurd. Bijvoorbeeld de overname van Skype door Microsoft is vaak controversieel opgevat.

[boran]

Een concrete vraag.. kunnen de bovenstaande op en aanmerkingen inhouden dat de bedrijven die gebruik maken van RSA producten (token ed) risico lopen? dat de gegevens van de gebruiker/onderneming ook toegankelijk kunnen zijn voor NSA?

[Verwijderd]

Ja, zolang er geen extra beveiligingslaag (op bv groeps- of projectniveau) binnen een onderneming aanwezig is denk ik dat het mogelijk is. Uiteindelijk typ je gewoon een getalletje in.

Een backdoor is echter niet exclusief voor NSA. Iedereen die de sleutel van het algoritme heeft kan naar binnen.

Maar we moeten er vanuit gaan dat het kan en ook dat het gebeurt.

[boran]

Thanks.. ik maak me vooral zorgen om de Rijksoverheid.. daar wordt vaak RSA token gebruikt.

[Verwijderd]

Kort antwoord ja, lang antwoord ook uiteindelijk ja.

De vraag is meer of je bedrijf het RSA systeem of ander US crypto systeem moet vervangen? Ligt eraan of je bedrijf in directe concurrentie/economisch probleem is voor de US en/of je bedrijf iets technisch hoogwaardig doet dat interresant is voor hun.

Crypto blijft altijd iets gevoeligs voor overheden, daarom kan je het beste voor Nederlandse of Europese producten gaan (duits, scandinavie, geen UK of frans) of zelfs opensource, maar wel goed de patches/updates in de gaten houden.

[Chuk]

"en de betreffende nummergenerator in september 2013 publiekelijk te hebben laten vallen na advies hierover van het NIST"

Betekent dit dat er nu wel een minder kwetsbare random generator in zit? Random is altijd al een moeilijk gegeven geweest voor computers...

[papa_san]

In ieder geval gebruiken we voorlopig een random generator waarvan (nog) niet bekent is welke non-random patronen er in zitten. :-|

Het zal waarschijnlijk nooit helemaal duidelijk worden wie nu verantwoordelijk is voor een aantal dubieuze beslissingen die zijn genomen. De belangen zijn te groot.

Er zijn in het verleden al een aantal personen naar voren gekomen die duidelijk gefrustreerd waren door beslissingen genomen door NIST (onder invloed van wie?). Alleen waren die personen onvoldoende in staat, om aan niet wiskundigen en non-cryptography-insiders, te laten zien waarom het zo belangrijk was.

Nu we met de billen bloot op de blaren zitten, is misschien de tijd rijp om herhaling te voorkomen.

[Verwijderd]

Misschien een hele domme vraag, ik lees steeds dat men van de randomgenerator in een computer gebruikt maakt, omdat die niet echt random is. Waarom gebruikt men dan niet voor een random generator b.v. ruis uit het heelal of b.v. ruis die wordt opgewekt door warmte of b.v. ruis uit de natuur (wind, stormwind) dat is nooit hetzelfde, dus is een kans op backdoor vele malen kleiner. Bij de volgende link http://www.fourmilab.ch/onetime/otpjs.html lees ik namelijk dat er een vaste seed gegeven kan worden, maar ook een userdefined. Maar misschien haal ik alles door elkaar, want ben niet zo op de hoogte hoe encryptie echt werkt.

[hackerhater]

Omdat het niet practisch is. Het kan technisch wel daar niet om.

[mxcreep]

Noem het maar niet praktisch, persoonlijk vind ik het een stuk minder praktisch dat een gegenereerde sleutel niet zo veilig is als ie verondersteld wordt te zijn. Dan maar wat meer moeite doen. Overigens is het geautomatiseerd vervaardigen van zulk soort seeds ook niet heel erg moeilijk. Veel bedrijven waarin we al die tijd ons vertrouwen hebben gehad waren er echter te onkundig, lui of ongeinteresseerd voor. En toch zijn dat nog steeds de grootste IT bedrijven in deze wereld.

[CAPSLOCK2000]

Misschien een hele domme vraag, ik lees steeds dat men van de randomgenerator in een computer gebruikt maakt, omdat die niet echt random is. Waarom gebruikt men dan niet voor een random generator b.v. ruis uit het heelal of b.v. ruis die wordt opgewekt door warmte of b.v. ruis uit de natuur (wind, stormwind) dat is nooit hetzelfde,

Je computer moet wel toegang hebben tot deze informatie. Je kan moeilijk een schotelantenne of windmolen op je computer bouwen. Ik overdrijf een beetje, want een normale desktop heeft wel degelijk toegang tot bronnen die random genereren op basis van natuurkundige principes zoals je geluidskaart. Er zijn echter twee grote nadelen.
1. Die bronnen zijn niet snel genoeg, we hebben veel meer randomdata nodig.
2. Niet alle computers hebben zo'n hardware. Een virtuele machine heeft geen (fysieke) geluidskaart of onderdelen die opwarmen. Die moeten het wel doen met een pure software-oplossing. Als je het echt belangrijk vind dan kun je wel externe random-generators kopen die dan via het netwerk random getallen doorgeven aan de VM, maar zoiets kost natuurlijk geld.

dus is een kans op backdoor vele malen kleiner. Bij de volgende link http://www.fourmilab.ch/onetime/otpjs.html lees ik namelijk dat er een vaste seed gegeven kan worden, maar ook een userdefined. Maar misschien haal ik alles door elkaar, want ben niet zo op de hoogte hoe encryptie echt werkt.

Een seed gebruik je alleen bij pseudo-random-generatoren (PRNG). Een echte random-generator produceert kant-en-klare randomgetallen. Een PRNG gebruikt een wiskundigalgoritme met grillige uitkomsten. Je rekent een bepaalde functie uit en de uitkomst daarvan gebruik je als random-generator. Die functie moet natuurlijk ook wisselende inputs krijgen, anders krijg je steeds dezelfde output. Die input is het seed. Vaak wordt de output van de ene berekening gebruikt als input voor de volgende. Een van de output is dan je random getal en een ander deel is het seed voor de voglende stap. Het is de bedoeling dat deze ketting maar 1 kant op werkt.
De NSA heeft echter een algoritme ontwikkelt waarbij zij wel de andere kant op kunnen gaan. Daardoor kunnen terugrekenen wat het seed was.

Er is geen enkele PRNG die oneindig is. Vroeg of laat kom je uit op een getal dat je al eerder had berekent. Als je dat opnieuw gaat gebruiken als seed dan kom je in een loop terecht. Door je seed handig te kiezen kan de loop heel erg groot zijn, maar als je eenmaal weet waar in de loop je zit dan weet je automatisch ook wat het volgende getal gaat zijn.

[blorf]

Dat vroeg ik me ook wel eens af. Ergens moet je gelijk hebben: je kan de line-in van je geluidskaart volgens mij al gebruiken voor die ruis. Desnoods hang je een meter kabel met een passief stuk schroot eraan en ga je alle stralingen die daarop binnenkomen softwarematig mixen en samenvoegen tot een stream van serieus willekeurige bits.

Daarom heb ik het idee dat je al die nieuwsberichten die zijn te linken met de NSA, Snowden, e.a. enigzins genuanceerd moet zien. Het lijkt onechte berichtgeving, mogelijk onderdeel van een propaganda-progamma. Misschien 'moeten' we er vast aan wennen.
Iets dergelijks is ook op te maken uit de manier waarop bedrijven reageren op beschuldigingen zoals hier RSA. I.i.g. ikzelf vind het erop lijken dat er doelbewust een soap van gemaakt wordt die als afleiding moet dienen. Spionage is het probleem niet maar wel het grootschalig profileren van individuen, wat vanaf het begin van het 'schandaal' nog geen seconde heeft stilgestaan. M.a.w. mensen moeten niet alleen wakker worden maar het ook blijven.

[Alex3]

Randomgenerators en encryptie zijn twee verschillende zaken. Randomgetallen die niet voor encryptie worden gebruikt hoeven aan minder hoge eisen te voldoen. En misschien maakt niet elke encryptiemethode gebruik van randomgetallen. Een ruisgenerator gebruiken is wel mogelijk maar tot nu toe vond men het niet noodzakelijk zoiets in een computer in te bouwen. Misschien veranderen de recente onthullingen hier iets aan. Anderzijds wil men een berekening wel eens herhalen met dezelfde randomgetallen.

[RoestVrijStaal]

Ik snap dat de RSA alle speelruimte wilt gebruiken om zich te verdedigen en haar imago proper te houden, maar deze ontkenning lijkt mij averechts te werken.

Als ze nou eens openlijk zeggen wat er nou werkelijk tussen de RSA en NSA is afgesproken en dat bijv. die 10M eigenlijk een dekmanteltruc is om de dwang vanuit de NSA te verhullen. Dat hoeft niet eens echt te zijn, maar dan schuift een groter deel van de schuld (terug) naar de NSA en komt de RSA er beter van af.

[Xanaroth]

Dit begint erg op damage-control te gaan lijken. Krijg er een beetje DigiNotar gevoel bij. Druppel, druppel, en vervolgens gaat het failliet nadat de bedrijven het massaal laten vallen doordat de core-business (veiligheid) niet langer betrouwbaar genoeg is.

Dan maakt het niet meer uit of je het probleem hebt opgelost of niet, het risico is voor veel bedrijven te groot om je wederom te geloven.

[Reactie gewijzigd door Xanaroth op 23 juli 2024 03:21]