Kwart Haagse raadsleden klikte op link in phishingmail

Bij het sturen van een nagemaakt phishingmailtje naar 45 raadsleden van de gemeente Den Haag reageerde ongeveer een kwart daadwerkelijk op de inhoud. Dat blijkt uit een onderzoek van de Haagse Rekenkamer, die diverse kwetsbaarheden aantrof bij het interne netwerk.

De desbetreffende phishingmailtjes werden bij wijze van proef vlak voor de gemeenteraadsverkiezingen naar de 45 raadsleden verstuurd. Daarin zou een link zijn opgenomen die verwees naar een niet bestaande enquête. Uit de klikresultaten heeft de Haagse Rekenkamer kunnen opmaken dat elf raadsleden daadwerkelijk de link aanklikten.

De Rekenkamer tilt daar zwaar aan. "Eén reactie op een phishingmail is in een reële situatie voldoende om een aanvaller de mogelijkheid te geven malware te installeren op het interne netwerk of gegevens van de ontvanger te bemachtigen. De test toont daarmee ook aan hoe kwetsbaar de beveiliging van het interne netwerk is voor aanvallen van buitenaf." Phishingmailtjes zijn bij gerichte aanvallen meestal op maat gemaakt en hackers gebruiken die om malware te installeren of om gevoelige gegevens te ontfutselen.

De onderzoekers kwamen onder andere na het uitvoeren van penetratietests in totaal 34 kwetsbaarheden tegen op het gemeentelijke netwerk, waarvan vijftien de kwalificatie hoog tot zeer hoog kregen opgeplakt. Zo verkregen zij toegang tot persoonsgegevens van inwoners van de stad. Het grootste deel van de kwetsbaarheden zou inmiddels zijn verholpen.

Volgens de opstellers van de risicoanalyse is de conclusie dat de gemeente onvoldoende maatregelen heeft getroffen om informatie van burgers en bedrijven te beschermen tegen kwaadwillenden. Daarbij komt dat gemeenten steeds meer data van burgers opslaan omdat zij vanuit de Rijksoverheid meer taken naar zich toegeschoven krijgen. Verder vindt de Haagse Rekenkamer het vervelend dat de aangetroffen kwetsbaarheden niet bekend waren bij de gemeente.

Het gemeentebestuur heeft toegezegd dat het maatregelen zal nemen om de beveiliging van het interne netwerk te verbeteren. Zo zal het elk jaar door een extern bureau de beveiliging laten toetsen. Ook moeten medewerkers beter voorgelicht worden en er worden 'technische hulpmiddelen' aan het netwerk gekoppeld om eventuele indringers tijdig te kunnen signaleren.

Reacties (158)

Is een normaal percentage geloof ik. Het is net een afspiegeling van de maatschappij.

http://www.archiefverniet...t-op-een-phishing-e-mail/

http://www.nutech.nl/inte...s-klikt-phishinglink.html

http://www.telecompaper.c...-phishing-e-mail--1013049

Oeps. Dat is wel een erg groot percentage.

Hangt er toch echt vanaf hoe overtuigend dat mailtje was / er uit zag. Kreeg er pas ook een van TNT en ik verwachte ook daadwerkelijk wat van hun dus ik klikte erop want er stond een track en trace link in om me code in te voeren die ik kreeg. Pas toe ik daar met me email en wachtwoord moest inloggen dacht ik van "eeeeuhhh, wat heeft dit met me T&T code te maken".

Ben echt niet naief ofzo, maar puur doordat ik iets van TNT verwachte klikte ik erop anders zeer waarschijnlijk niet... Toen had ik ook zoiets van, ben ik er toch bijna ingestonken...

Inderdaad, ik heb wel eens een mailtje van Paypal gehad dat er iets mijn aandacht vereiste en of ik in wilde loggen via het linkje in de mail.
Ik trapte erin omdat:

- Mijn naam stond erbij!
- Het mailtje was in keurig nederlands geschreven
- ik krijg wel vaker mailtjes van paypal

Ik zag echter wel direct toen ik op de link had geklikt dat het wel een hele rare URL was en ben daarna niet doorgegaan en heb paypal ingelicht. De pagina die opende was overigens ook een 1 op 1 kopie van de normale paypal website.

In zo'n geval kán ik begrijpen dat je er met open ogen instinkt.

Vervelend is wel dat ook echte payapl mail vaak een andere link onder aanklikbare hebben zitten dan er op staat. Dat ruikt naar phising. Meldingen bij paypal halen echter niks uit. Moet je een volgende keer maar eens op letten.
Voorbeeld:
Op de knop naar paypal.nl in een officiele mail staat als onderwater link:
mail-edg-paypal.com/etc etc
Erg slordig!

25% vind ik eerlijk gezegd nog al meevallen voor een semi-getargete phishing, ik had eerder een percentage boven de 50% verwacht.

Maar zoals het artikel al zegt: 1 is genoeg.

Misschien kun je beter concluderen dat van elk rondgestuurd document hooguit 25% van de raadsleden 't leest

De generalisatie van enquête naar document zou weleens niet valide kunnen zijn. Ik lees als raadslid namelijk al mijn mail, maar ik maak een onderscheid tussen mail waar bijvoorbeeld een burger een vraag heeft en mail waarin ik word gevraagd aan de zoveelste enquête mee te doen. En dan ben ik van huis uit nog kwantitatief onderzoeker met een voorliefde voor enquetes. Als ik die wel allemaal zou invullen krijg ik het echte werk niet af namelijk.

De overige 34 raadsleden hadden het waarschijnlijk in die tijd zo druk dat ze hun mail überhaupt niet konden bijhouden. Zou best kunnen dat het percentage hoger ligt in een periode van luwte.

Welke die 25% die er in tuint? Of die 75% die dat niet doet? Want ik vermoed dat die 75% hun mail helemaal niet leest en dat zou toch wel een bijzonder groot percentage zijn voor een volksvertegenwoordiger. Ik zou verwachten dat een direct gerichte op maatgemaakte phishing mail normaal gesproken een veel hogere score haalt.

Zie de titel: "Kwart Haagse raadsleden klikten op link in phishingmail". Ik bedoel dus 25%.

Dat 75% hun mail niet zou lezen, zoals jij zegt, is zeker een groot percentage. Hoe kom je daar nou weer bij?

Hoe ik daar bij kom? Simpel omdat ik verwacht dat je bij een gerichte actie je bijna 100 zou moeten kunnen scoren. Dus geen erfenis uit Africa maar met je naam aangesproken, gefakete van een bekende iets wat je interesseert. Dan kom je echt boven de kwart uit. De reden dat dat hier niet gelukt is, is vermoedelijk dat mensen minder en minder hun email lezen.

Je doet nogal wat aannames over de inhoud van de phisingmail die is verstuurd. Als de rekenkamer echt wil testen, sturen ze een mail zoals deze dagelijks bij iedereen binnenkomen en niet extra getarget. Niet met het doel er zo veel mogelijk mensen in te laten tuinen, maar om de "reële situatie" te testen (ze vertalen hun uitkomsten hier in ieder geval wel naar). En om vervolgens er vanuit te gaan dat 75% van de raadsleden hun mail niet leest, vind ik nogal voorbarig. Zegt meer over jouw beeld van lokale politici dan deze test en de uitkomsten ervan.

Bij targetting neem je normaliter bijna 100% te grazen.

Dan moet je even met je advies naar de Haagse Rekenkamer denk ik, om ze te vertellen dat het allemaal wel meevalt.

Oeps. Dat is wel een erg groot percentage.

Och, als ik een mail krijg van een prins uit Nigeria die mij nodig heeft om 20 miljoen (20.000.000) euro te verschepen, dan heb ik, evenals velen met mij, dat wel door.
Als ik een mailtje krijg over iets dat redelijk met mijn vakgebied te maken heeft en waarin ik bij naam wordt genoemd en ook nog 's in correct Nederlands is geschreven... Ik weet niet of ik dan oplettend genoeg zou zijn om daar niet in te trappen.
In het laatste geval zou ik 25% heel acceptabel vinden.

Tja tis ook maar gewoon kantoor personeel, zoveel mensen zijn leek/naiev met computers, laat dat PC rijbewijs maar komen

Nee, daar hoort je ICT personeel je voor te beschermen. Dus die mail hoort niet aan te komen, en men hoort niet met 1klik op het internet te komen.
Virtuele omgeving voor internet, geen directe verbinding.

En ja, wat opleidingen voor het personeel is nooit weg.

Nee, daar hoort je ICT personeel je voor te beschermen.

Uhuh, dat is het probleem bij de gemeente...

Van de 10 opnieuw getoetste kwetsbaarheden uit het onderzoek bleken in de hertest 4 volledig weggenomen en 3 deels verholpen. Op het moment van de hertest werden 3 kwetsbaarheden nog geconstateerd, 2 daarvan vallen binnen de categorie "hoog risico". Voor beide kwetsbaarheden is een structurele oplossing bedacht waarmee het probleem wordt aangepakt. De derde nog aangetroffen kwetsbaarheid is van een "middelhoog risico". Voor de aanpak hiervan is overleg met andere gemeentelijke diensten nodig.

+

Conclusie 1: de gemeenteraad is onvoldoende in staat zijn kaderstellende en controlerende functie uit te oefenen op het gebied van informatiebeveiliging.

+

Zo is de gemeente verplicht afzonderlijke audits uit te voeren voor DigiD28 en Suwinet29, maar wordt geen integrale test voor de hele gemeentelijke ICT uitgevoerd. Een totaalbeeld van de informatiebeveiliging was tot dit onderzoek nog niet voorhanden. Het testen van de informatiebeveiliging is geen structureel onderdeel van de planning- en control cyclus en informatiebeveiliging is geen vast onderdeel van de rapportage aan de raad.

Bovenstaande komt uit "Bestuurlijk rapport digitale veiligheid" van eerder deze week. Met dit soort conclusies/constateringen in het eindrapport, is het ICT personeel (waar nodig) dus ook gewoon bezig met niks doen, al dan niet door gebrek aan kennis, management, visie, budget of whatever.

[Reactie gewijzigd door MAX3400 op 2 juli 2014 13:41]

Uit dit:

Het testen van de informatiebeveiliging is geen structureel onderdeel van de planning- en control cyclus en informatiebeveiliging is geen vast onderdeel van de rapportage aan de raad

Deze conclusie trekken is er toch wat over.

Met dit soort conclusies/constateringen in het eindrapport, is het ICT personeel (waar nodig) dus ook gewoon bezig met niks doen, al dan niet door gebrek aan kennis, management, visie, budget of whatever.

Veiligheid is over het algemeen geen "core concern" maar dat wisten we allemaal al.

heb je enigszins gelijk in. Ik werk voor de overheid en er blijft spam/phising mail bij ons binnenkomen, hoe vaak we de filters ook bijwerken. Mensen die moedwillig willen spammen/phisen zuller er altijd wel doorkomen, tenzij een organisatie alles potdicht gooit. Dat kan echter niet altijd.
Tegenwoordig is internet een "verworven recht" wat je mensen niet zondermeer meer kan afpakken.

Het probleem is dat wanneer IT de boel echt veilig maakt het voor de gebruikers onwerkbaar wordt. Extra vervelend, voor de beveiliging, is de trend dat alles beschikbaar moet zijn als de gebruiker met z'n iPad op het strand ligt.

Dus die mail hoort niet aan te komen, en men hoort niet met 1klik op het internet te komen.

Wat wil je daarmee zeggen, welke concrete verdedigingsmiddelen om dit
tewerk te stellen raad jij aan ?

[Reactie gewijzigd door goarilla op 2 juli 2014 13:50]

raadsleden gewoon kantoor personeel? ik hoop toch dat iemand die zo hoog in een organisatie zit een beetje normaal verstand heeft, zoals de deur opslot doen als je weg gaat, wachtwoorden niet laten slingeren en geen mail van onbekenden openen.

ik zeg tijd om de ouderwetse postkamer te herintroduceren, zodat iemand met verstand de boel vast kan schiften

Dat zie je dan weer verkeerd. Raadsleden zijn geen reguliere gemeenteambtenaren, het zijn mensen 'van buiten' die het raadswerk er (in meer of mindere mate) bij doen. Nu zijn dat in Den Haag en andere grote steden soms carriere-politici, maar niet allemaal. En al was dat wel zo, ICT is niet iets waar ze specifiek veel van moeten weten.

En schiften van email gebeurt al door allerhande filters. Je kan echter geen 100% score halen en dus moeten de mensen worden voorgelicht en het netwerk goed dichtgetimmerd zijn. Blijkbaar schort het daaraan. Om dat op de bordjes van de raadsleden te leggen is vreemd, dat is niet hun functie.

die filters zijn dus een deel van het probleem! zo zie je maar weer waarom er nog zoveel mensen werken ipv dat we alles aan computers over laten, die kunnen veel dingen (nog) niet.

Desalnietemin vind ik dat je aan een raadslid bepaalde basis-eisen moet stellen, ze moeten toch ook kunnen lezen en schrijven neem ik aan?!

Wat is er (praktisch) op tegen om alle mail die van buiten het bedrijf komt op 1 plek binnen te laten komen, te laten controleren door een persoon met verstand van zaken, en door te sturen? Ja dit zou extra banen betekenen, maar die kosten vallen in het niets bij een inbraak in je netwerk en alles wat daar uit voort kan komen.

1. Een inbreuk op de privacy waar je u tegen zegt, die ook niet binnen de wettelijke kaders valt.
2. Niet bij te houden, vertraging in het e-mailverkeer (snel in 3 mails iets afkaarten gaat duren omdat de mail eerst intern moet worden 'verwerkt'
3. Vertrouwelijkheid. Je moet ervan uit kunnen gaan dat emails alleen door de ontvanger worden gelezen.

De postkamer maakt de enveloppen niet open maar stuurt ongeopend door. De directiesecretaresse leest wel de post van de baas (vaak tenzij als vertrouwelijk aangemerkt), maar dat is haar baan en daar zijn afspraken over gemaakt.

@himlims_ : volledig eens, raadsleden beter trainen over het gebruik van e-mail op de gemeentelijke werkplek lijkt me uitstekend. En zorgen dat met hun accounts de kans er amper is om malware het netwerk op te gooien.

[Reactie gewijzigd door Bundin op 2 juli 2014 13:48]

1. het gaat om zakelijke informatie, prive mail hoor je niet op je werk te lezen (of dan in ieder geval op je eigen hardware) en contractueel is alles af te dichten. Iedere helpdesk medewerker heeft inzicht in privacy gevoelige info, en dus geheimhoudingsplicht.
2. wat dacht je van een whitelist? en een uitzondering op emails met alleen tekst, dus geen links/verborgen elementen/bijlagen, etc? want die laat je dan eerst controleren door de postkamer, die een menselijke denkcapaciteiten heeft en een blacklist met alle actuele ellende die er rond gaat op internet.
3. of door iemand die door de ontvanger daarvoor aangewezen is. bovendien stuur je in dit geval iets naar een functionaris, niet een persoon. Op het moment dat bijvoorbeeld door ziekte een vervanger heeft, zal hij toch zeker de post moeten openen?

PS zoek eens op anthrax en witte huis, pakketjes worden in de postkamer gescand, verdacht bevonden en geopend. Mail van onbekenden is helaas in deze tijd altijd verdacht, en zou dus geopend en gecontroleerd moeten worden.

[Reactie gewijzigd door Alxndr op 2 juli 2014 21:47]

ICT is niet iets waar ze specifiek veel van moeten weten.

een (verplicht) computer rijbewijs zou zooo veel problemen kunnen voorkomen

Veel, maar niet alle. Ook mensen met rijbewijzen, diploma´s en certificaten maken fouten. Vlak voor een vergadering nog even een mailtje openen, verkeerd klikken want haast. Shit.

Raadsleden zijn toch gewoon mensen die door burgers gekozen zijn voor 4 jaar?

Waarom zou een raadslid iets afweten van hoe targetting werkt?

Dat wordt normaliter alleen ingezet tegen bepaalde ministers, de premier, en wat personen IQ > 140 in 't land.

Die tuinen er ook nonstop in, terwijl ze heel erg op hun hoede ervoor zijn.

Het ECDL is al enige tijd op de markt. Helaas voorkomt dat nog steeds niet dat mensen ergens op kunnen klikken, hoe netjes het er ook uitziet.

Voorbeelden : http://consumerist.com/20...-paypal-phishing-attempt/ & https://www.waarschuwings...ureau+CJIB+in+omloop.html

Het is zelfs zo erg dat het CJIB van de week weer in het Journaal kwam omdat mensen er nog steeds op klikken. Hoe "simpel" moet je dan wel niet zijn; ik heb werkelijk nooit een mail gehad van welke overheidsinstantie dan ook dat ik iets moest betalen. Alleen maar blauwe brieven in de bus of gemeentelijke heffingen in de brievenbus.

Mensen zijn & blijven onwetend. Neemt niet weg dat het ICT-landschap van de gemeente Den Haag gewoon open en bloot ligt; mogelijk zowel technisch als inhoudelijk slecht ingevuld en dat druppelt helaas door in de rest van de organisatie als "verkeerde kennis" en dus klikt men te snel en te eenvoudig op phishing-links.

Maar wat geeft het nou dat je op een phishing link klikt, de website kan toch niks installeren op je pc? Zolang je de link opent, ziet dat het niet deugt en direct weer weggaat, is er toch niks aan de hand?

Uit het artikel:

Phishingmailtjes zijn bij gerichte aanvallen meestal op maat gemaakt en hackers gebruiken die om malware te installeren of om gevoelige gegevens te ontfutselen.

Browsers bevatten kwetsbaarheden, die kunnen gebruikt worden om software op je computer te installeren en daarmee verder toegang te krijgen tot het hele netwerk.

Misschien een exploit van je browser? Misschien een fake gemeente site met login waar dan toch iemand gaat 'inloggen'. Er zijn talloze mogelijkheden.

Daar ga ik dus echt niet op klikken..

Op het moment dat ik " Ukash" zie is zoiets al volkomen mislukt

Dat computer rijbewijs wordt vrij vaak genoemd. Maar hoe stel je dit als je het serieus meent voor? Een autorijbewijs is wettelijk verplicht en dat kan bij computers hoe leuk het idee ook is nooit het geval worden. Je zou mensen op zulke posities als hier wel kunnen verplichten tot het volgen van een basiscursus, niet vrijblijvend, maar echt verplichten en ze doordringen van de noodzaak er van. En dan uiteraard een examen er aan verbinden. Dat mensen met degelijke functies de meest elementaire begrippen niet hoeven te weten of niet MOETEN weten is nogal discutabel vind ik. Die gevaren die ze kunnen tegenkomen en op gewezen horen te worden gelden uiteraard voor iedereen, maar dat is hun zaak. Iedereen kan bijvoorbeeld eenvoudig opzoeken wat die begrippen als CC en BCC etc. allemaal betekenen, zo moeilijk zijn die niet.. Geen interesse? Oké, zoek het dan in geval van problemen dan ook zelf maar uit. Maar voor raadsleden, kamerleden etc. is die houding gewoon niet aan de orde omdat ze in hun functie met die communicatiemiddelen te maken krijgen.

Ik geloof er niets van dat die 75 % die er niet is ingetrapt nooit e-mails leest. Veel aannemelijker dat die leden wel slim genoeg zijn geweest, het zijn echt niet alleen maar naïevelingen daar.

Edit:
En zo bijzonder is zo'n verplichte cursus niet, dat moesten wij tweede helft van de jaren '90 ook.

[Reactie gewijzigd door Techneut op 2 juli 2014 17:10]

Raadsleden zijn geen kantoorpersoneel, maar ok...

Klopt.
Raadsleden komen en gaan waarbij de achtergrond niet altijd helemaal duidelijk is.

De leden zouden ruim van tevoren een fatsoenlijke bijscholingscursus moeten krijgen voordat ze aan de slag gaan met de hardware. Daarbij periodiek een update geven over hoe en wat waarbij mogelijke consequenties duidelijk worden aangegeven.

De ICT-afdeling kan meest bekende en duidelijk achterdochtige mails blokkeren,
maar gezond rationeel verstand van de gebruikers is het belangrijkste.

Wat een onzin kraam je hier uit.

Je bent kansloos tegen targetting.

Niet mee eens.
Je hebt targeting die makkelijk te voorkomen is en je hebt targeting die, als de aanvaller enorm zn best doet, amper tegen te gaan zijn. Uiteindelijk is er dus een heel gebied waar er iets te winnen valt.

Het gaat erom dat het niet goed is als ze niet weten hoe een phishing mail te herkennen. Of, zoals een Fries kamerlid niet eens zou weten wat BCC is in een email, terwijl het verschil tussen een CC (Carbon Copy) en een BCC (Blind Carbon Copy) nogal groot is. Het gaat er hier bij mij niet om dat je moet weten waar die afkortingen voor staan, maar wel wat het uitmaakt of je een geadresseerde in Aan:, CC: of BCC: plaatst. Ook is dit slechts een voorbeeld, maar nogal belangrijk als het gaat om het voorkomen van het uitlekken van informatie, dus toch heel relevant.

Zelf vind ik het juist wel prettig om te weten dat de B voor Blind staat, om te onthouden dat de geadresseerden die je daarin plaatst Blind zijn voor wie de email nog meer heeft gekregen.

[Reactie gewijzigd door Frank71 op 2 juli 2014 14:06]

Wat een flauwekul! CC, BCC, da's toch allemaal technisch geneuzel, of niet dan? Waarom zou een gewone gebruiker (wat een raadslid ook is) dit moeten weten?

CC is een afkorting van een Engelse term voor een manier waarop vroeger duplicaten van handschrift of typewerk werden gemaakt. Los van het feit dat mensen van onder de 40 waarschijnlijk nog nooit met een carbondoorslag te maken hebben gehad, hoe moet een gewone Nederlandse computergebruiker daar uit afleiden dat dat betekent dat adressen die je daar invult ook gewoon verzonden worden maar met een andere e-mail header?

En BCC? Wat moet ik me in hemelsnaam voorstellen bij een blinde carbondoorslag? En waarom zou een willekeurige gebruiker MOETEN weten dat dat betekent dat de e-mail ook gewoon aankomt, maar dat anderen niet kunnen zien dat de e-mail daarheen gestuurd is?

Misschien moeten technologieleveranciers eens nadenken over hoe ze zaken noemen en of ze gebruikers hier überhaupt mee willen lastigvallen. Ik heb in elk geval liever dat raadsleden verstand hebben van gemeentepolitiek.

[Reactie gewijzigd door Herko_ter_Horst op 2 juli 2014 14:00]

Het verschil tussen CC en BCC is geen technisch geneuzel. Het is een feature van email. Het kan handig zijn voor iedereen die email gebruikt. Iedere simpele ziel kan in 3 zinnen worden uitgelegd hoe BCC kan worden gebruikt. En iedere simpele ziel kan zich waarschijnlijk wel voorstellen wanneer hij "stiekem" een copietje naar een ander zou willen sturen.

Het probleem zit hem in het herkennen van phishing mails. Als BCC een teken zou zijn dat het een phising mail is.

Emails zou je alleen moeten kunnen lezen. Webpaginas zou je alleen moeten kunnen bekijken. Het hele idee dat een webpagina is kan doen op mijn PC is al belachelijk. Dank je wel Microsoft, voor het vervagen van de grens tussen data en programmas.

Geef mij maar en browser die niks kan, alleen paginas weergeven. Als ik iets wil *doen* dan download ik wel een programma, wat ik daarna zelf met de hand uitvoer. En waarom hebben we nog geen browsers die standaard altijd in een afgeschermde omgeving draaien ? Chroot() of containers, of whatever.

De huidige situatie wat betreft security en Internet is bizar. Is al 15 jaar bizar. Waarom niemand dit op een structurele wijze oplost ? Misschien omdat een hoop bedrijven geld verdienen met rotzooi als virusscanners en zo ? Ik heb geen idee.

Het verschil tussen CC en BCC is geen technisch geneuzel. Het is een feature van email. Het kan handig zijn voor iedereen die email gebruikt. Iedere simpele ziel kan in 3 zinnen worden uitgelegd hoe BCC kan worden gebruikt. En iedere simpele ziel kan zich waarschijnlijk wel voorstellen wanneer hij "stiekem" een copietje naar een ander zou willen sturen.

Natuurlijk is het technisch geneuzel. Een of andere idioot techneut heeft ooit eens bedacht dat die headers zo moesten heten en aangezien de mail clients ook door techneuten in elkaar zijn gezet, is die terminologie bij de gebruiker terecht gekomen. En nu verwachten wij van elke nieuwe gebruiker dat hij deze historie snapt en daarmee begrijpt waar die velden voor dienen.

"CC:" zou gewoon "Afschrift aan:" moeten heten in het Nederlands.
"BCC:" zou gewoon afgeschaft moeten worden. Als je een "verborgen" mailtje wilt sturen, stuur je maar twee keer hetzelfde mailtje.

Het probleem zit hem in het herkennen van phishing mails. Als BCC een teken zou zijn dat het een phising mail is.

Oh ja, dus een mailtje waar jij niet in de To: of Cc: staat, is een phishing mailtje. Bullshit. In zo'n 99% van de phishing mailtjes die ik nog krijg, sta ik gewoon als geadresseerde.

Emails zou je alleen moeten kunnen lezen.

Klopt ook, tegenwoordig.

Webpaginas zou je alleen moeten kunnen bekijken. Het hele idee dat een webpagina is kan doen op mijn PC is al belachelijk. Dank je wel Microsoft, voor het vervagen van de grens tussen data en programmas.

Dit is niet het probleem. Het probleem is dat mensen computers gebruiken.

Geef mij maar en browser die niks kan, alleen paginas weergeven. Als ik iets wil *doen* dan download ik wel een programma, wat ik daarna zelf met de hand uitvoer. En waarom hebben we nog geen browsers die standaard altijd in een afgeschermde omgeving draaien ? Chroot() of containers, of whatever.

Oh, dus jij kunt nog steeds programma's installeren op je computer? Nou, de instructies voor het downloaden en installeren van een computerprogramma kan ik ook gewoon in een phishing mailtje zetten. Ook daar zijn gebruikers in getrapt en ook daar zullen gebruikers in blijven trappen.

De huidige situatie wat betreft security en Internet is bizar. Is al 15 jaar bizar. Waarom niemand dit op een structurele wijze oplost ? Misschien omdat een hoop bedrijven geld verdienen met rotzooi als virusscanners en zo ? Ik heb geen idee.

Het is niet opgelost, omdat het niet op te lossen is. Gebruikers zijn en blijven de zwakste schakel.

Een systeem dat te gebruiken is, is per definitie ook te misbruiken.

CC en BCC zijn keurige engelse begrippen. Die bestonden al voordat de eerste computer werd gebruikt. Niks mis met die namen. Ikzelf prefereer engelse computertermen boven het moeten "raden" wat een vertaald woord nu precies betekent.

Volgens de tweakers hier is je naam in het BCC veld een aanwijzing dat het een onechte email is. Als scammers of spammer grote hoeveelheden emails versturen, dan doen ze dat in bulk. Door CC of BCC te gebruiken. De email hoef je dan maar 1x over SMTP te versturen. De mailserver doet de rest. Helemaal als het iemand anders zijn mailserver is.

Het probleem is niet dat mensen computers gebruiken. Computers zijn bedoeld omgebruikt te worden. Door mensen nog wel.

Het probleem is dat data geen kwaad kan. Zeker one-time data, die je een keer op je scherm ziet, en verder niks. Er is verschil tussen data en programmas. Data kan niks. Met vreemde programmas moet je oppassen. Het grote probleem begon toen Microsoft programmas tussen de data ging stoppen. Want dat was zo handig. Zonder ook maar enigzins na te denken over security. Word documenten die macros konden bevatten die files kunnen manipuleren en andere dingen konden doen. Active-X in je browers. Noem maar op. Als webpaginas alleen maar data zouden kunnen bevatten, dan wordt het web een stuk veiliger.

Iemand instructies geven om software te downloaden en installeren is duizenden malen safer dan auto-install via Active-X of JavaScript. Omdat je met JS en AX niet eens ziet wat er gebeurd. Omdat je langer nadenkt voor je iets explicieit download en installeert. Als je dat niet inziet, dan kan ik je verder niks meer uitleggen.

Natuurlijk heeft alles bugs. En is er altijd social engineering. Maar een systeem moet gebouwd worden met security als oogpunt vanaf het begin. Ik denk dat Microsoft dat minder deed dan andere bedrijven. Ik denk dat bij JS en AX en andere "makkelijke software" veel te ver is gegaan in hun design beslissingen wat betreft security versus gebruikersvriendelijkheid.

Je kunt niks perfects maken. Je kunt het wel proberen.

" Er is verschil tussen data en programmas. Data kan niks."

Eeh, dit is een compleet verkeerde manier om tegen data aan te kijken.
Een computerprogramma is namelijk ook gewoon data.
Data kan dus wel iets, mits het juist is geformuleerd.
Zo kun je bijvoorbeeld een buffer overflow gebruiken om 'data' uit te voeren.
Je kan dus een blok data maken, zeg een jpg, waarbij de data codes bevat die ervoor zorgen dat de computer een deel van de data gaat behandelen alsof het programmacode is.

Als je dan verder kijkt en ziet welke systemen er turing compleet te krijgen zijn dan verdwijnt de scheiding tussen data en code in een grote grijze brei van combinaties.
Voorbeeld: Een windows machine ziet een blob data en geeft dat door aan een SCADA systeem. En die ziet het opeens als code en voert het uit en een kerncentrale ligt plat.
Was die blob dan data of code?

Buffer overflows en dergelijke zijn bugs. Er is een gigantisch verschil tussen een vulnerability door een bug, en vulnerabilties door design.

Geen enkel product is perfect. Maar je kunt wel beginnen met proberen het design perfect te krijgen. Voor mij is een browser iets waar ik dingen mee bekijken. En die dingen zijn passief. Plaatjes, tekst, etc. Als het design toestaat dat er onzichtbaar actieve elementen in mijn computer worden geladen, dan vind ik dat een fout design.

De rest van je betoog is generieke "what if". Je zult wel gelijk hebben. Maar ik wil gewoon een browser die alleen iets kan laten zien. Niet een browser die zelf dingen doet.

"Buffer overflows en dergelijke zijn bugs. Er is een gigantisch verschil tussen een vulnerability door een bug, en vulnerabilties door design."

Ik zeg, dat verschil is vaak helemaal niet zo groot.
Zo zijn veel buffer overflow 'bugs' direct te wijten aan een designbeslissing. Er is dan blijkbaar bij design niet genoeg rekening gehouden met het mogelijk misbruik van die overflow.

Vroeger, toen buffer overflows nog niet zo veel in het nieuws kwamen, namen programmeurs deze mogelijkheid niet erg serieus en ontwierpen hun software vaak zonder hier rekening mee te houden.
Moet je dat zien als bugs of hebben die programmeurs hun software dan gewoon fout ontworpen?
Lastig te beantwoorden.

Misschien moet je eens precies nagaan wat het verschil is tussen design en implementatie.

Buffer-overflow bugs komen omdat programmeurs de verkeerde library-calls gebruiken. Bv strcpy() ipv strncpy(). Dat heeft niks met design te maken. Da's een kwestie van een slordige implementatie.

Alsof iemand niet in staat is zn eigen strcpy() te designen.

In veel gevallen is de implementatie het design.
En als je security serieus neemt dan moet toch echt nadenken over de implementatie en daar iets voor ontwerpen en keuzes maken.
Het Secure by Design artiekel op wikipedia gaat in eerste instantie over buffer overflows.

Dat hele lostrekken van design en implementatie is natuurlijk een natte droom van elke informatikaprofessor maar de werkelijkheid leert dat je ook de praktische toepassing in je design moet opnemen om bepaalde dingen te kunnen garanderen.
Je kijkt bij design alleen veel verder dan de implementatie van een enkel stukje code. Je moet ook kijken naar hoe componenten samenwerken, eventueel over externe kanalen etc.
Ik zag een tijdje geleden een presentatie van mensen die via brokjes javascript op willekeurige sites een turing-compleet mechanisme hebben gebouwt. Dat zijn wat mij betreft echt dingen waar je bij design rekening mee moet houden.

En ook de keuze tussen strcpy() en strncpy() kan onder design vallen ALS het voor het geheel nuttig is (als bijvoorbeeld slechts 1 van de twee voldoende veilig is voor jou).

Maar goed, als ik dan hier lees over hoe arcitectuur, design en implementatie worden opgedeelt dan bestaat het hele strncpy() verhaal sowiso niet.
De keuze voor een string copy is non-local, want het gaat alles aan. En tegelijkertijd is het ook extentional, want het gaat niet over een ideale abstracte situatie van pure logica.
Er is dus binnen het paradigma van architectuur, design en implementatie eigenlijk geen plek voor zoiets als nadenken over de gevolgen van de keuze van strncpy() en strcpy().

Zoals jij het zegt kan je denk ik helemaal geen securityfeatures designen die dit soort out of bounds problemen tegengaan want je zegt eigenlijk dat de keuze tussen een veilige en minder veilige functie buiten design valt. Maar het is wel iets waar je over na moet denken wil je een veilig stukje software maken en dat moet je eigenlijk doen voor dat je gaat implementeren.

Bv strcpy() ipv strncpy(). Dat heeft niks met design te maken. Da's een kwestie van een slordige implementatie.

Als het design alleen heeft geeist dat er een string gecopieerd moet worden of daar helemaal niks over zegt dan is de implementatie volstrekt correct en is er geen sprake van slordigheid. Blijkbaar maakte het de designer niks uit welke copy je gebruikte. Als het design bepalde verwachtingen heeft over het functioneren van de implementatie dan moeten die verwachtingen ten aller tijde in het design worden gezet. Volgens mij is het zo simpel.

Als je dus een veilig design wilt maken zul je OF precies moeten specificeren welke functies er mogen worden gebruikt (omdat je weet hoe en waarom ze werken) OF je eigen functies moeten definieren die precies aan je eisen voldoen.
Ik vind in ieder geval de grenzen tussen bugs en designfouten vrij vaag.

[Reactie gewijzigd door koelpasta op 4 juli 2014 12:59]

Ontvangers
Kopie Ontvangers
Afgeschermde Ontvangers

Maar ik vind dat afgeschermde ontvangers een nuttige functie is, omdat het zorgt voor gebruiksgemak. Immers is het heel fijn een mail in 1x aan een groep mensen te kunnen sturen, zonder dat je hun emailadressen wilt verraden.
De negatieve vorm is dat je een mail stiekem ook aan iemand anders doorstuurt. Dat is inderdaad niet zo netjes. Maar er zijn ook mensen die scheldwoorden in een emailbericht zetten, dat is ook niet zo netjes. Het heeft dus met fatsoen te maken en niet met de functie.

Maar goed... dit is offtopic.

ontopic
25% is een normaal percentage:
van een inhoudelijke enquete kun je verwachten dat maximaal zo'n 25% tot 50% het emailbericht leest. Die andere 50% mist het bericht, is op vakantie, of ziet aan de kop dat het een enquete is (...die lees ik wel een andere keer...). De 50% die de mail wel leest, daarvan zal de helft denken. Ja, het 23:00 uur, ik wil naar BED. Morgen hoor die enquete. Of: nou lekker belangrijk zo'n enquete. Meer als 25% halen met een eenmalig verstuurde enquete is echt heel veel.
Stuur je een reminder, dan haal je weer een groep binnen. Een dringende reminder via een belangrijkere afzender (fractievoorzitter, burgemeester bijv) haal je weer wat mensen binnen.

Zeker naar politici in verkiezingstijd. Er zijn dan onder raadsleden mensen die stoppen (die hebben minder interesse), mensen die gedwongen stoppen (niet op de lijst gezet / laag op lijst) en mensen die alleen nog op papier raadslid zijn (met ruzie weg en alleen premie innen...).

"BCC:" zou gewoon afgeschaft moeten worden. Als je een "verborgen" mailtje wilt sturen, stuur je maar twee keer hetzelfde mailtje.

Dus als iemand naar een groep van 50 man een mailtje wilt sturen, dan moet hij 50 afzondelijke mailtjes gaan sturen? Fantastisch, het resultaat is dat daar gewoon de CC voor gebruikt wordt en dat iedereen dus kan zien naar wie de mail gestuurd is. Nee, enorm goed idee.

Deze designfout kan eigenlijk eenvoudig door de mailserver worden opgelost door de andere ontvangers voor elke mail te filteren.
Ik begrijp niet dat dit anno 2014 nog niet standaard door alle mailservers op die manier afgehandelt wordt...

Hoezo, designfout? Het kan toch prima? Gewoon de ontvangers in de BCC zetten. En soms wil je juist wél dat iedereen zichtbaar is in groepsmails, zodat iemand een reply all kan doen. Om die reden kan een mailserver het dus niet zomaar afvangen.

"Hoezo, designfout? Het kan toch prima?"

Er kan zoveel prima. Wil niet zeggen dat het goed voor de situatie is ontworpen, dat er geen ontwerpfouten in zitten of dat het niet beter/veiliger/makkelijker kan.
Met designfout bedoel ik dat wij email tegenwoordig anders gebruiken dan waar het systeem oorspronkelijk voor bedacht was.
Voor de huidige situatie is het eigenlijk een verkeerd design waar we dan redelijk mee wegkomen.
De designfout is niet iets technisch maar heeft te maken met hoe het verondersteld wordt te worden gebruikt. Toen email 20 jaar geleden werdt gedefinieerd was de werkelijkheid op het internet heel anders. En email was voor die situatie ontworpen.

"En soms wil je juist wél dat iedereen zichtbaar is in groepsmails,"

Dat is zelden en daar zou dan een apparte manier van versturen voor kunnen komen.
Als je het per see wilt dat iedereen elkaars adres ziet dan kun je altijd nog je lijst van adressen gewoon in de body pasten. Is dus al bij voorbaat opgelost.

"Gewoon de ontvangers in de BCC zetten. "

Maar dan kunnen in sommige gevallen de mensen die in de bcc staan elkaars mailadres ook zien. Archaisch...

Email, hoe leuk ook, is in de basis nooit ontworpen om in de huidige situatie te werken. Dat het nog bruikbaar is is mooi, maar dat betekent niet dat het optimaal is voor de situatie.

" En soms wil je juist wél dat iedereen zichtbaar is in groepsmails, zodat iemand een reply all kan doen. "

Ja, maar dit is weer een direct gevolg van hoe de rest van een email systeem werkt.
Je had namelijk ook de lijst met ontvangers in eerste instantie alleen naar de server kunnen sturen die dat verder managed.
Als een ontvanger dan een 'reply-to-all' wilt doen dan stuurtie een bericht naar de server (replied eigenlijk naar de verzender met het 'reply all' bitje gezet) en de server handelt alle omgang met de adressen af.
Dit is gewoon een voorbeeld va hoe het had kunnen werken.

Nu zeg jij natuurlijk, "maar dat is niet hoe email werkt!".
Dan zeg ik, dat is correct.
En dan zeg jij, :" Ja, maar dan moeten we alles aanpassen!".
En dan zeg ik, dat is precies wat ik hierboven al voorstelde want email is van oorsprong behoorlijk naief opgezet terwijl we het nu al lange tijd niet meer op de lieve mooie onschuldige jaren 90 manier gebruiken.
En vandaar dat ik het, vanuit het perspectief anno 2014, een designfout noem.
In zichzelf is het een mooi systeem maar de wereld om dat systeem heen is verandert en het feit dat er allerlei problemen met oa. het per ongeluk versturen van massa's adressen nog steeds eenvoudig mogelijk zijn wijst er op dat het eigenlijk geen systeem is dat geschikt is voor allerdaags gebruik.
Waarom we het dan nog steeds gebruiken heeft natuurlijk vele redenen. Maar dat neemt niet weg dat we eigenlijk aan een goede en robuustere vervanging toe zijn.

Om een voorbeeld te noemen: Waarom bestaat er nog steeds spam?
Als je deze vraag moet beantwoorden met het uitleggen hoe email op de achtergrond eigenlijk werkt dan moet je ook snappen dat het dus eigenlijk een beperking van dat systeem is dat wordt misbruikt waardoor spam mogelijk wordt.
Toen email werdt gedefinieerd hield de schrijver geen rekening met het feit dat het systeem op zo'n schaal misbruikt zou kunnen worden. Dat is dus een designfout.
En aangezien we nog steeds spam hebben betekent dat linea recta dat die fout er nog steeds in zit.
En zo zitten er meer 'geintjes' in email.

Er kan zoveel prima. Wil niet zeggen dat [..]

Duh, dat hoef je mij niet uit te leggen. Wat ik uiteraard insinueerde met mijn opmerking is dat ik het geen designfout vind. Niet dat ik niet weet wat een designfout is.

[En soms wil je juist wél dat iedereen zichtbaar is in groepsmails]
Dat is zelden

Pertinent onwaar. Doe je überhaupt iets met emailcommunicatie . Ik wil het vaker wél dan niet. Emails op kantoor waar meerdere collega's bij betrokken zijn, emails met vrienden waarbij men iets aan het plannen/whatever is...

Sorry hoor, maar als consument is het juist de BCC die je zelden nodig hebt. Dat geldt meer voor bedrijven die meerdere klanten ergens over willen informeren, zonder dat je wilt dat die klanten elkaars emailgegevens kunnen bemachtigen uit privacyoverwegingen.

Als je het per see wilt dat iedereen elkaars adres ziet dan kun je altijd nog je lijst van adressen gewoon in de body pasten. Is dus al bij voorbaat opgelost.

Over designfouten gesproken . Je haalt nu werkelijk waar je hele argumentatie onderuit, door met een net zo'n draconische oplossing te komen als waarvan je het huidige systeem nu beschuldigt.

Maar dan kunnen in sommige gevallen de mensen die in de bcc staan elkaars mailadres ook zien. Archaisch...

In "sommige" gevallen? Ik ken er geen een. Noem eens een voorbeeld.

Nu zeg jij natuurlijk...

Hou dat soort aannames voor je alsjeblieft.

[Reactie gewijzigd door .oisyn op 3 juli 2014 13:08]

"Over designfouten gesproken . Je haalt nu werkelijk waar je hele argumentatie onderuit, door met een net zo'n draconische oplossing te komen als waarvan je het huidige systeem nu beschuldigt."

Er is praktisch gezien geen enkel verschil tussen die lijst in de body pasten en het in het cc veld te pasten.
Die cc is dus eigenlijk net zo draconisch behalve dan dat het een apart dataveld is.
En dat is wat ik hier eigenlijk mee wou zeggen. CC is echt niet veel beter dan gewoon een lijst pasten.
Als jij dat pasten een designfout vindt dan is cc dat eigenlijk ook. Dat is het hele punt.

"Emails op kantoor waar meerdere collega's bij betrokken zijn, emails met vrienden waarbij men iets aan het plannen/whatever is..."

Dat jij uit de cc regel moet opmaken wie er allemaal bij de communicatie betrokken zijn is op zich al een zwak punt van email.
Maar waar ik het hierboven over had was dat de mail zelf eigenlijk helemaal geen cc hoeft te bevatten. Al die adressen hadden gewoon door de server gestript kunnen worden en als losse mails uitgestuurd kunnen worden. Bij 'reply to all' kan de server dan de originele cc lijst erbij pakken. Dat zou bijvoorbeeld voorkomen dat er exchanges onderweg de adressen eventjes in een spam-lijst omzetten.

Om de een of andere reden ga je helemaal niet in op de nadelen van email als communicatiesysteem.
Ik neem dus aan dat je vindt dat alles aan email sunshine happytime is?
Zo niet dan moet je het met me eens zijn dat er iets beters mogelijk is.

Je lijkt boos te worden om het feit dat ik email durf aan te vallen.
Je klinkt dan behoorlijk als een sysadmin die aan iets blijft vasthouden omdatie dat ontzettend goed kent.
Ikzelf heb een warm plekje voor email (sendmail config FTW! ) maar ik zie wel dat er gebreken zijn waardoor email in bepaalde opzichten niet meer evolueert. Dat maakt het dus enigzins archaisch.

Als jij dat pasten een designfout vindt dan is cc dat eigenlijk ook. Dat is het hele punt.

Je snapt toch zeker ook wel dat als je gewoon een lijst met emailadressen in de body hebt dat het dan knap lastig wordt om makkelijk iedereen te replyen?

Om de een of andere reden ga je helemaal niet in op de nadelen van email als communicatiesysteem.
Ik neem dus aan dat je vindt dat alles aan email sunshine happytime is?

Da's ook gek. Ik ga ergens niet op in dus je gaat er vanuit dat ik het er niet mee eens ben? Al eens in je opgekomen dat het juist precies andersom is, en dat ik er daarom niet op in ga?

Email is een ontzettend outdated systeem en moet nodig op de schop. Alleen vind ik de huidige methode van To, CC en BCC nou net iets wat gewoon behouden kan blijven. Het feit dat wij daarover van mening verschillen impliceert niet dat ik over de rest dan ook wel met je van mening verschil.

Je lijkt boos te worden om het feit dat ik email durf aan te vallen.
Je klinkt dan behoorlijk als een sysadmin die aan iets blijft vasthouden omdatie dat ontzettend goed kent.

Jouw interpretatie van hoe ik erover denk stond bij jou volgens mij al vast voor ik erop reageerde. Het begon al met jouw aanname dat ik niet snapte wat een designfout was, en dat ik zeker wel zal zeggen "dat alles dan aangepast moest worden". Dát is wat mij irriteert. Je kent mij niet, doe niet van die aannames. Ik ben al meer dan 10 jaar softwareontwikkelaar en sta open voor vernieuwing. Het beeld dat jij van mij lijkt te hebben klopt voor geen meter.

En for god's sake leer de [q] tag eens te gebruiken

[Reactie gewijzigd door .oisyn op 3 juli 2014 14:51]

"Je snapt toch zeker ook wel dat als je gewoon een lijst met emailadressen in de body hebt dat het dan knap lastig wordt om makkelijk iedereen te replyen?"

Ja, natuurlijk. Maar je kunt dan net zo makkelijk daar een textuele tag voor verzinnen zodat het geinterpreteerd kan worden.
Magoed, nogmaals, dat was het punt helemaal niet.
Het punt was dat er in beide gevallen (zowel cc als pasten in body) onnodig veel informatie in de mail zelf verwerkt zit.
Dat is leuk in een beschermde omgeving waar iedereen elkaar vertrouwt maar zo werkt de echte wereld helemaal niet.
De basis voor ons internet is in de tijd redelijk naief bedacht, vooral omdat hardware niet in staat was complexere handelingen snel genoeg te verrichten. Zo zijn de internet protocollen vrij naief in het accepteren van informatie. En email is ook voor die situatie ontwikkeld. In feite voor een open universiteit/campus omgeving. Maar dus eigenlijk helemaal niet voor een bedrijfsomgeving waar met kritische informatie wordt omgegaan (zie goldman sachs verhaal). Email laat je makkelijk fouten maken die je in sommige gevallen niet makkelijk herkent met alle gevolgen van dien.

"Da's ook gek. Ik ga ergens niet op in dus je gaat er vanuit dat ik het er niet mee eens ben? Al eens in je opgekomen dat het juist precies andersom is, en dat ik er daarom niet op in ga?"

Je leek mijn argumenten te mijden waardoor ik de indruk kreeg dat je ze liever niet wou bespreken.

"Email is een ontzettend outdated systeem en moet nodig op de schop. Alleen vind ik de huidige methode van To, CC en BCC nou net iets wat gewoon behouden kan blijven. Het feit dat wij daarover van mening verschillen impliceert niet dat ik over de rest dan ook wel met je van mening verschil."

Je hebt gelijk, ik nam waarschijnlijk teveel aan.
Aan de andere kant heb je niet duidelijk gezegd dat er voor jou een duidelijke scheiding tussen wel/niet op precies dit vlak bestaat terwijl je wel uitgebreid hebt gereageerd op mn post.
Voor mij zijn die velden en wat ze binnen het systeem voorstellen een onderdeel van wat email in sommige opzichten problematisch maakt.

"Jouw interpretatie van hoe ik erover denk stond bij jou volgens mij al vast voor ik erop reageerde. Het begon al met jouw aanname dat ik niet snapte wat een designfout was,"

In eerste instantie nam ik helemaal niks aan en verhelderde ik (nadat jij zei dat je het geen designfout vond) mijn positie van waarom ik het een designfout vond. Ik maakte geen enkele aanname over wat jij wel of niet een designfout vindt.

".. en dat ik zeker wel zal zeggen "dat alles dan aangepast moest worden". Dát is wat mij irriteert. "

Ik bedoelde dat ook helemaal niet op de persoon maar meer als een algemeen argument voor het behouden van archaische systemen.
Jij was het immers die riep dat het allemaal prima kan en er geen sprake is van een designfout. Mijn argument was dat er dan 'mitsen' en 'maren' aan hangen bij gebruik en dat je dat in de huidige situatie rustig voor designfout mag zien.

Als je het prettig vindt kan ik de zinsnede "Nu zeg jij natuurlijk,..." veranderen in zoiets als "Nu kan men natuurlijk zeggen:.." want dat maakt voor mij geen deel uit van mijn redenatie. Als dat je op de stang heeft gejaagd dan spijt dat mij oprecht

En for god's sake leer de [q] tag eens te gebruiken

ok..

Oeh.. slik.. volgens mij druipt het sarcasme (helaas) niet van jouw posting af..

Das technisch geneuzel,. ik zou toch denken dat 1) een tweaker het zou weten, en 2) een tweaker het prettig zou vinden als een ander het ook weet..

Voordeel van de BCC is toch vooral dat, als een mail naar meerdere mensen rond wordt gestuurd, niet iedereen elkanders e-mail adressen te zien krijgt.. Vooral handig als één van de gebruikers (van die 15% :-) ) een phishing mail krijgt, waarna er op zijn PC'tje gegraasd wordt naar e-mail adressen.

But anyhoe: Talk to the hand.

Het sarcasme druipt er zeker niet vanaf, het was dan ook niet sarcastisch bedoeld.

Natuurlijk zou ik het als techneut prettig vinden als alle gebruikers in de hele wereld precies weten wat alle technische termen die wij als techneuten op ze afvuren betekenen, waarom het zo heet en wat de technische consequenties daarvan zijn. Maar ik zou het ook wel prettig vinden om 25 miljoen op de bank te hebben staan.

En ik acht de kans dat dat laatste werkelijkheid wordt echt een heel stuk groter.

Gebruikers weten het niet, en als wij als techneuten ons werk écht goed zouden doen, hoeven ze het ook niet te weten.

De huidige situatie is het gevolg van het hebben van expertise in een complex en weinig tastbaar domein. Artsen hebben hetzelfde probleem met patiënten. Advocaten hebben hetzelfde probleem met cliënten. Hoe dieper je zelf in de materie zit, hoe moeilijker het vaak is om het voor buitenstaanders nog begrijpelijk uit te leggen.

Mmm tja.. Misschien komt 't ook doordat ik destijds ( jaren 90 ) wèl een basis cursusje internet/email heb gehad. Maar 'pine' was dan ook al lastig genoeg voor iemand die in z'n jeugd eigenlijk nooit verder was gekomen dan WP 4 en 5.1 :-)

Toch zouden de functies CC en BCC beter uitgelegd kunnen worden. Ik bedoel: Men ( de niet-techneut ( digibeet wil ik ze ook weer niet noemen ) ) weet immers wel hoe ze een e-mail versturen: Iets van basis is er wel aanwezig.

*come to think about is: niet helemaal waar.. Binnen mijn kennissen kring zijn er ook mensen die het verschil niet zien tussen een mailtje, een SMS of een berichtje via Whatsapp.... of Internet en/of e-mail..

Ik weet wist ook niet waar het voor staat, maar weet wel hoe het werkt. Ik denk dat Herko dit bedoelt.

Als je werkt met een programma waar je dit kan doen voor mail, dan moet je idd mijns inziens weten waar die opties voor zijn, helemaal als een raadslid met gevoelige info.

[Reactie gewijzigd door SouLLeSSportal op 2 juli 2014 13:56]

Los van het feit dat mensen van onder de 40 waarschijnlijk nog nooit met een carbondoorslag te maken hebben gehad, hoe moet een gewone Nederlandse computergebruiker daar uit afleiden dat dat betekent dat adressen die je daar invult ook gewoon verzonden worden maar met een andere e-mail header?

Ik ben nu 27 en het was weliswaar op de basisschool, maar ik heb dat zeker nog wel meegemaakt.

Misschien moeten technologieleveranciers eens nadenken over hoe ze zaken noemen en of ze gebruikers hier überhaupt mee willen lastigvallen. Ik heb in elk geval liever dat raadsleden verstand hebben van gemeentepolitiek.

Oneens. Juist volksvertegenwoordigers zouden imho dan een cursus moeten krijgen over hoe ze met dit soort zaken omgaan om bepaalde veiligheid te garanderen. Het hoort gewoon bij je werk, maak het maar lekker een terugkerend jaarlijks ding van zodat ze gecertificeerd moeten zijn om aan dergelijke belangrijke systemen te mogen zitten.

"Juist volksvertegenwoordigers zouden imho dan een cursus moeten krijgen over hoe ze met dit soort zaken omgaan om bepaalde veiligheid te garanderen."

Cursus: Luister goed naar specialisten omdat jullie zelf nooit de implicaties kunnen doorgronden. Ga niet zelf dingen bedenken maar luister naar de nerd.

Dit is denk ik wat er scheelt, de volksvertegenwoordigers zijn eigenlijk een soort managers die niet over de details gaan. Maar de meeste veiligheidsproblemen met ict zitten in een klein hoekje (1 verkeerd emailtje kan een hele organisatie ondermijnen, bijvoorbeeld).

Het gaat erom dat het niet goed is als ze niet weten hoe een phishing mail te herkennen. Of, zoals een Fries kamerlid niet eens zou weten wat BCC is in een email, terwijl het verschil tussen een CC (Carbon Copy) en een BCC (Blind Carbon Copy) nogal groot is.

Als je zelfs voor tweakers de afkortingen CC en BCC moet uitleggen, heb je ook voor hen een niet al te hoge pet op!

Wat is het criterium?
Dat ze op de link klikken, of op die website ook daadwerkelijk dingen invullen/uitvoeren?

Ik klik namelijk zelf ook (vaak) op links in phishingmails, gewoon om te kijken waar ik terecht kom. En of de website al in de lijsten van malafide websites voorkomt.

Het klikken op een link kan in principe ook nooit kwaad. (let op: in principe) Het uitvoeren van bepaalde bestanden o.i.d. natuurlijk wel. En daar kan de ICT afdeling natuurlijk een paar eenvoudige stokjes voor steken.

Het klikken op een link kan in principe ook nooit kwaad. (let op: in principe) Het uitvoeren van bepaalde bestanden o.i.d. natuurlijk wel. En daar kan de ICT afdeling natuurlijk een paar eenvoudige stokjes voor steken.

Incorrect. Er bestaat altijd de kans dat er achter een dergelijke link malware zit, en dat die malware beveiligingslekken in jouw webbrowser (of plugins daarvoor) weet te misbruiken. Genomen beveiliginsmaatregelen kunnen daartegen mogelijk niet helpen. Klik dus nooit, maar dan ook echt nooit een link aan in een phisingmail.

Je hebt natuurlijk gelijk (en daar ben ik me ook van bewust)
Overigens hoef je (afhankelijk van je email-client) niet eens op een link te klikken om te laten 'merken' dat je mailadres gebruikt wordt (http://en.wikipedia.org/wiki/Web_beacons)

Bovendien werk ik niet onder windows (niet dat dat gegarandeerd veilig is, maar het helpt wel)
Ik weet zelf wel precies waar ik mee bezig ben, dus wees maar niet bang

Maar dan nog... het klikken op een link zou niet mogen leiden tot een beveiligingsprobleem
Dit is dus eigenlijk niet een probleem van de gebruiker, maar van de software.
In link bevat (voor een gewone gebruiker) te weinig informatie om te beoordelen of het betrouwbaar is.

Een computer is een stuk gereedschap, daar moet je natuurlijk mee om leren gaan. Maar eigenlijk het is belachelijk dat je als gebruiker zo een paranoïde instelling aan moet nemen dat zelfs het klikken op een linkje een probleem kan zijn.

Niet helemaal mijn onderwerp, maar ik meen dat het klikken op een link zowiezo gevaarlijk kan zijn.

Zodra je die link volgt en hij staat niet op een blacklist kunnen ze in ieder geval zien dat je mailadres werkt en bekeken wordt. Waardoor je weer meer van dit soort troep kan verwachten. En dat is nog buiten eventuele zero day exploits op de pagina gerekend.

[Reactie gewijzigd door HooksForFeet op 2 juli 2014 13:45]

Het herkennen van een phishing mailtje kan soms best lastig zijn. Ik snap best dat je hier makkelijk instinkt. Zeker als je weinig kennis hebt van computers en dergelijke.

[Reactie gewijzigd door Zeror op 2 juli 2014 13:16]

Vaak is het een kwestie van link bekijken of bijv even een email adress goed te bekijken. Kwestie van goed opletten en niet zo maar overal op klikken, net als al die mensen die lutraak op "volgende" en "ok"klikken en dan verbaasd zijn wanneer ze tig toolbars hebben en hun pc traag is.

Even een link bekijken, betekent voor veel mensen dat ze er gewoon op klikken.
Meeste mensen zijn niet bewust van de link bekijken in de statusbalk in de browser (deze staat zelfs standaard uit ook).

Even met je muis over een link gaan staan en het adress komt er te staan, dit geld ook voor bijv nep email links. Deze mensen zullen waarschijnlijk ook op Facebook "5" hebben getypt en wachten nu wat voor spannends er wel niet zal gaan gebeuren.

Maar wat dan? Dan zien ze in de statusbalk of in een tooltip het begin van een url. Dat kan "http://www.rijksoverheid.nl.4815162342-1183.ng/securelogin/..." zijn, en dan moet je heel goed opletten door te hebben dat je naar een website in Nigeria gaat. Moeten we nu alle ambtenaren gaan trainen in hoe URLs precies werken? En wat als iemand via-via www.rijksoverheid-enquetes.nl registreert? Of wat als de overheid zelf gebruik maakt van een ip-adres in plaats van een domeinnaam (gebeurt regelmatig)? Hoe moet een ambtenaar precies weten welk adres wel en niet veilig is?

In de meeste gevallen is het gewoon prima mogelijk het door te hebben via de link. (tuurlijk het is soms wat moeilijker uit te vinden maar als je er wat moeite voor doet kom je er vanm zelf wel)

We moeten ze leren niet overal klakkeloos op te gaan klikken en wellicht hun info afgeven. Dit soort mensen klikken al op een link als je er neer zet "hey ben jij dit op deze foto?" zonder er ook maar bij na te denken, men denkt er tegenwoordig te makkelijk over (niet alleen deze raadsleden)

Een ambtenaar hoort te weten hoe om te gaan met zijn info (en wellicht die van anderen)

In de meeste gevallen is het gewoon prima mogelijk het door te hebben via de link. (tuurlijk het is soms wat moeilijker uit te vinden maar als je er wat moeite voor doet kom je er vanm zelf wel)

Ja, voor ons, omdat we ITers zijn en weten hoe URLs opgebouwd zijn. Hoe moeten "normale" mensen aan een URL zien dat 'ie niet te vertrouwen is dan?

Ik ben geen ITer en gebruik gewoon mijn gezonde verstand.

Tja, als je jezelf er makkelijk met oneliners vanaf wil maken kan je dat ook doen natuurlijk. Da's makkelijker dan wat roepen en er dan niet dieper op in willen gaan inderdaad.

Dan ben je dus totaal kansloos tegen targetting.

Als je als IT bedrijf publiciteit zoekt dan target je gewoon iemand, no matter whom, die gaat er gegarandeerd in, dan vervolgens is je actie geslaagd.

Targetting wordt ingezet door inlichtingendiensten.

Als 25% hier de link opent, dan betekent dit zeer wellicht dat 75% deze email simpelweg niet bekeken heeft of simpelweg stukken op dit onderwerp nooit leest (daar mogelijk een ander raadslid dit onderwerp al voor zijn rekening neemt).

Dat weet jij en ik misschien, maar de meeste mensen zijn niet zo slim.

Deze topmannen mogen van mij part een cursus krijgen, en zo nu en dan moet iemand een test-phishingmail sturen om dan maa te hopen dat men het afleert.

Een cursus tegen targetting?

Heb je enig idee wat je zegt?

Een cursus beter opletten.

Ik ben vooral benieuwd hoe die phishing mail eruit zag. Ik herken ze altijd direct omdat ze bol staan van de taal-, stijl- en vormfouten die mijn bank, overheid, verzekeraar enzovoort niet maken. Als mensen bij de rekenkamer dat ding té overtuigend maken (in tegenstelling tot blijkbaar vrijwel alle phishers zijn zij de Nederlandse taal en basis-communicatievaardigheden hoogstwaarschijnlijk wél machtig) dan zou het me niets verbazen als er ook bij de doorgewinterde internetters geen alarmbellen gingen rinkelen.

Als de mail specifiek gericht is op raadsleden gaat het meer richting social engineering. Het is niet geheel ongebruikelijk voor een raadslid om een enquête in te vullen, als meerdere raadsleden de mail tegelijk kregen wordt daar natuurlijk onderling over gecommuniceerd.

Met een mooie bedrijfsnaam, een goed Nederlands bericht en een nette URL kom je ver als je je op een specifieke doelgroep richt. Phishing mails worden per tienduizenden verstuurd en richten zich op algemene zaken (banken, loterijen, geldzaken, 'gratis' consumentenelektronica, games, cosmetica etc.).

Ik vind dit helemaal niet raar. Alleen het fenomeen al hoeveel mensen (en dus ook raadsleden) de preview panel van oulook standaard gewoon open hebben staan, waardoor emails openen zodra ze er 1x op klikken cq door heen te bladeren met de cursortoets (pijltje naar beneden).

Sterker nog, het verbaast me dat dit standaard nog aan staat in dit soort pakketten.

Ik vermoed, als dit nou eens word uitgezet, door het IT bedrijf, dat het aantal al drastisch zal verminderen.

Natuurlijk blijft er dan altijd een select groepje idioten over

Het mailtje tonen/openen kan anders vrij weinig kwaad tegenwoordig, dus jouw suggestie gaat niks uitmaken.

Het is namelijk veel simpeler om de gebruiker voor de gek te houden, dan om een lek te vinden in het systeem waardoor je automatisch iets kunt laten gebeuren. Phishing is precies dat: het doorbreken van de beveiliging door de gebruiker te verleiden er aan mee te werken, het gaat om actief klikken op een link.

Dit probleem heeft geen technische oplossing. Je kunt een "beter" mail filter toepassen of je hele internet gaan afschermen, maar een systeem dat ook nog bruikbaar moet zijn, kun je niet 100% beveiligen.

Nou het niet openen van je previewpanel is dus zo'n "niet technische" oplossing. Je dwingt de gebruiker een hobbel te nemen, waardoor "automatisme" enigzins word afgeremt

In plaats van het gemak van direct je mail kunnen inzien, laat ze expliciet dit soort mailtjes openen. De klant dwing je zo de keuze maken een mail te open door er op te klikken, zodat ze een extra voorzichtheids momentje creeeren voor zich zelf. (noem het een virtuele vekeersdrempel)

1x als je het mailtje moeten openen
+
1x als ze op de bewuste < klik vooral hier> link moeten klikken

Net als in het verkeer. Leuk die verkeersregels, maar toch zijn die drempels verrekte handig.

Iets wat het probleem enorm verkleint is virtual machines gebruiken.

Dus bijvoorbeeld Xen - en de browser zijn eigen hok te geven, zodat klikken op een link die leidt naar een phishing website, niet direct je hele computer weet te hacken.

Dat neemt niet weg dat het targetten met domeinkennis natuurlijk altijd succesvol zal blijven.

Een previewvenster kan totaal geen kwaad zolang het maar geen requests doet. Aangezien het downloaden van afbeeldingen in mails en dergelijke bij alle pakketten die er toe doen standaard uit staat heeft een preview geen enkel nadelig effect.

Zo was dat maar geen leugen. Outlook 2010 laat standaard nog steeds plaatjes zien. Thunderbird niet. Die vraagt in z'n standaard instelling of je content wil openen. Mischien latere versies, maar je zult ze de kost moeten geven, de mensen die nog met oudere versies werken van office

Niks leugen, ook bij Outlook 2010 staat dat standaard uit: http://office.microsoft.c...messages-HP010355038.aspx

To help protect you from junk email senders, Microsoft Outlook is configured by default to block automatic picture downloads from the Internet. This article describes why blocking pictures can help protect your computer and how you can unblock pictures that you think are safe to download.

Applies to: Outlook 2010

[Reactie gewijzigd door HooksForFeet op 2 juli 2014 14:56]

Gek dat dit bij onze installatie niet het geval is..........Staat trouwens dat "gedownloade" afbeeldingen die worden geblokkeerd. Er word niet gesproken over embedded pictures.

Net geinstalleerd en getest.

[Reactie gewijzigd door maquis op 3 juli 2014 08:54]

Voor embedded pictures hoef je ook geen request te doen naar een externe server, dus dat maakt niet uit. Het gaat erom dat het previewvenster niet met derden communiceert of executables/scripts uitvoert, en dat doet het dus niet als het een embedded plaatje toont.

Dat het bij jullie wel gebeurt: mysterieus. Een group policy of iets dergelijks die de standaardinstellingen aanpast? Een custom installer?

Niet echt waarschijnlijk. Zijn we te klein voor. Heel veel is standaard, bij ons, mits de beveiliging dit toelaat. Maar de moeite waard om eens in te duiken. thanx

Daar gaat je integriteit en bewustzijn van problemen op internet. Slechte zaak als "voorbeeld" van de samenleving.

Het is dan wel een vrij realistische weergave van hoe mensen met ict omgaan.
En dit is dus al vanaf het begin van het internet aan de gang.
Leuk dat ze nu wat pogingen gaan ondernemen om het te 'fixen' maar dat neemt niet weg dat het dus al 15 jaar fout aan het gaan is.
Eerlijk gezegd denk ik dat het nu opleggen van betere standaarden niet gaat werken zonder de hele organisatie compleet te herzien. En dat gaat natuurlijk nooit gebeuren.

Wat wil je herzien dan?

Targetting is bijna niet te voorkomen. Het is een middel wat inlichtingendiensten gebruiken.
Om targetting te voorkomen moet iemand welhaast in een bunker leven met fulltime sysadmins die elk communicatiekanaal nonstop monitoren.

Je hebt targeting en je hebt targeting.
Een externe mail die een interne enquête suggereert lijkt me kinderlijk eenvoudig te detecteren.
Die mail had dus in eerste instantie nooit bij die mensen in de mailbox mogen belanden.
Ook is er blijkbaar geen scheiding tussen interne communicatie en externe communicatie en komen deze twee kanalen op 1 hoop samen bij de medewerker terecht. Dit is typisch iets waar gemak voorgaat op veiligheid en dat vormt een essentieel onderdeel van veel securityproblemen die we ondervinden en nog gaan ondervinden.
Hier hoef je echt geen bunkerparanoia voor toe te passen om de problemen beheersbaar te krijgen. Maar je moet er wel iets voor doen, ja.

Meer en meer worden interne communicatiekanalen als tandwielen in een klok.
Als er dan een eenvoudige (en vaak overduidelijke) manier is om daar zand in te gooien dan hebben we eigenlijk een groot systematisch probleem. De standaardmanier van veel bedrijven en instellingen om hiermee om te gaan is om dit te negeren. Daar plukken we nu dus de 'vruchten' van.

Waarom mag volgens jou een burger uit een gemeente niet een email sturen aan de gehele gemeenteraad?

Hoe communiceer je DAN met je volksvertegenwoordigers?

Dat heb ik niet gezegd.
Er moet alleen een duidelijke scheiding zijn van kanalen, ook voor de medewerker. En dat is er vaak niet. Intern is het vaak een zooitje en wordt alles door elkaar gebruikt. Zo kunnen er klantgegevens bij zorgverzekeraars op onbeveiligde prive ftp servers van medewerkers komen te staan en worden er patientendosiers op het interne netwerk met iedereen gedeelt, om een paar recente voorbeelden te noemen.
Het betekent gewoon dat veel instanties en bedrijven de implicaties van een informatiesamenleving gewoon niet snappen.

Raadsleden zijn een afspiegeling van de bevolking, dus ja...

Voor mijn informatie, neem aan dat men alleen maar Windows draait op het gemeentehuis. Wat nu als in plaats van Windows er een Linux distro gedraaid zou hebben, zou de uitslag dan hetzelfde geweest zijn ja / nee?

Eh, die mensen krijgen een mailtje en klikken op een link in dat mailtje. Volgens mij gaat dat in Linux niets anders dan in Windows. Waarom zou de uitslag met Linux anders zijn?

Omdat de malware die wordt geinstalleerd vaak alleen op windows werkt. Onder linux zou deze malware niet draaien.

Dat kopt (waarschijnlijk, lijkt iig logisch) maar maakt voor de resultaten van dit onderzoek niets uit. Er is gemeten hoeveel procent van de raadsleden klikten. Er is geen malware geïnstalleerd.

Juist dat bedoel ik, vergeten te vermelden, wordt je werkplek al een stuk veiliger.

[Reactie gewijzigd door clogie886 op 2 juli 2014 14:44]

Gebruikers die op links klikken, blijven gebruikers die op links klikken, en ik zie niet in hoe een ander besturingssysteem dat zou voorkomen. Ook de andere problemen lijken veroorzaakt te zijn door een mentaliteitsprobleem, en ook dat kan een ander besturingssysteem niet oplossen (de exact gevonden problemen worden misschien wat anders, maar de verwachting is dat er vergelijkbare problemen ontstaan).

Op het gemeentehuis wordt inderdaad Windows gedraaid, maar wie zegt dat deze raadsleden de mail op hun werk geopend hebben?

Het zijn ook mensen, mensen maken fouten. Iedereen in het bedrijfsleven zou beter geinformeerd moeten worden over online veiligheid. Dit mag toch niet kunnen....

iedereen wordt ook geinformeerd. Als je TV kijkt, komt er vaak genoeg een spotje langs om dit soort domme dingen niet te doen.

Maar dat is gericht op bankzaken thuis. Als mensen op hun werk zijn denken ze echt niet aan reclame spotjes als het over hun werk gaat.

"beter informeren", over methodes die inlichtingendiensten gebruiken die nu en over 50 jaar nog steeds goed werken, dat bedoel je?

Waar niet over gesproken wordt, maar wel een punt kan zijn, is vertrouwen in eigen ICT afdeling.
Hier op kantoor hebben wij zo een zelfde test gehad een tijd terug. Binnen onze ICT afdeling had iedereen wel door dat het om phising ging, maar ook bij de business veel mensen toch wel.
Reden dat toch een aantal mensen er op geklikt hebben, was het argument: We krijgen nooit spam of phising binnen, dit wordt altijd tegen gehouden. Als dit wel door de firewall komt, zal het wel te vertrouwen zijn! Thuis zou ik er niet op geklikt hebben. Zo zie je dat het twee kanten op kan gaan.

het argument: We krijgen nooit spam of phising binnen, dit wordt altijd tegen gehouden.

En ook foutieve handelingen gaan een lange tijd goed, dus goed genoeg. Tot de dag dat je op een werkelijk linke link drukt. Maar het stond in je mailbox en er zit een heel bedrijf omheen, met een ict-afdeling en allemaal vlotte mensen. Het zal dus wel veilig zijn. Klik.

Cybercoala, zou jij het ok vinden als een ICT afdeling besluit welke emails wel of niet te laten lezen door gemeenteraadsleden?

Dus zij krijgen dan het voorrecht om emails te censureren die LIJKEN op targetting van de gemeenteraadsleden?