Heartbleed grootste internetlek aller tijden

heartbleed cyber TshirtHet staat in alle media. Door een bug met de naam Heartbleed zijn wereldwijd wachtwoorden en vertrouwelijke informatie op sites al 2 jaar onveilig. Wat is het probleem en wat kun je doen? Moet je eigenlijk wel wat doen? 

Heartbleed. Wat is het probleem?

Heartbleed is een probleem met OpenSSL. Dat is het stukje software code dat een SSL/TLS-beveiliging opzet voor sites. Daarmee worden je vertrouwelijke gegevens, zoals wachtwoorden en creditcardnummers die je ingeeft op een site, versleutelt en beschermt tegen diefstal. SSL kun je zien aan het sleuteltje in de browserbalk: als die er staat (en het internetadres voorafgegaan wordt door https://) is er een SSL-verbinding met de site.

Nu blijkt dat veel sites met SSL sinds mei 2012 kwetsbaar waren door een programmeerfout. Die zit in de functie ‘heartbeat’ van SSL, die beveiligde verbindingen openhoudt terwijl de gebruiker actief is.

Door die fout wordt informatie overhandigd die in het geheugen is opgeslagen: door een heartbeat-verzoek stuurt de server een willekeurig stukje data mee van 64k groot.
Als een hacker dat vaak genoeg doet, kan hij de encryptiesleutels van de server in handen krijgen en het beveiligde verkeer zien. Zo kunnen wachtwoorden, creditcardnummers en andere vertrouwelijke informatie gestolen worden.

Helpt wachtwoorden veranderen?

Het betreft beveiligde sites, die van deze SSL gebruik maken. Daar heb je dus met een wachtwoord op gewerkt. Deze kunnen lekken dus. Je wachtwoorden veranderen is dus de beste algemene maatregel. Maar dat eerst eens even verder verkennen.

Een aantal bedrijven wist van de bug voordat deze openbaar werd gemaakt (Facebook en Google). Ze hebben snel maatregelen genomen. Maar criminelen (en de NSA…) kenden de kwetsbaarheid, dus het lijkt van belang om toch je wachtwoorden voor ook deze sites voor de zekerheid te wijzigen.

Sommige bedrijven, zoals de Nederlandse banken, Linkedin en Microsoft, gebruiken geen SSL. Daar hoeven wachtwoorden dus niet te worden gewijzigd.

Maar let op: als sites hun eigen beveiliging nog niet gerepareerd hebben, werkt het veranderen van wachtwoorden in je nadeel. Het wordt voor hackers dan juist gemakkelijker om je nieuwe wachtwoord te vinden. Het is dus het beste de niet-gerepareerde sites NIET te bezoeken, totdat ze hun beveiliging op orde hebben. En dan je wachtwoorden veranderen.

Wat kan ik zelf doen? De 6 beste tips

  1. Overweeg veranderen van je wachtwoorden. Dit is niet voor de NL banken sites, want die gebruiken geen SSL. Het is sowieso verstandig om ieder jaar al je wachtwoorden te veranderen.
  2. Mashable heeft een overzichtelijke lijst van enkele grote sites. Hier lees je welke sites veilig zijn, geraakt zijn, en voor welke je je wachtwoord zou moeten veranderen.
  3. Wie zelf een site wil testen kan op deze site het webadres invullen. De test laat direct weten of een site nog kwetsbaar is. Niet meer kwetsbaar? Verander het wachtwoord!
  4. Gebruikers van Google Chrome kunnen de extensie Chromebleed insatlleren. Deze app geeft je een waarschuwing als een onveilige site wordt bezocht.
  5. Wachtwoord kluisprogramma Lastpass bijvoorbeeld gebruikt ook SSL, maar werkt met meer beveiligingsmaatregelen. Je wachtwoorden zijn via Lastpass veilig op je eigen computer versleuteld opgeslagen. Tip: doe in Lastpass de volgende check en zie voor welke sites je je wachtwoord wanneer moet veranderen:
    ‘…We also recommend running the LastPass Security Check (click on your LastPass browser icon, select Tools menu, select Security Check) which has been updated to alert you to accounts that may have been impacted by Heartbleed. The Security Check will identify the accounts in your vault that may be at risk and tell you the last time you updated that password, if the site has updated their certificates, and the action we recommend taking at this time.
  6. Lees hier verder hoe je slim een nieuw, veilig wachtwoord kiest! Kun je gelijk op een slimme nieuwe manier je wachtwoorden kiezen en onthouden.

Is de Heartbleed bug echt zo erg?

De Heartbleed-bug maakt in theorie veel gegevens kwetsbaar. Maar hoe dit in praktijk uitpakt moet dus nog worden bezien. Toch zijn veel experts bezorgd. “Het is met gemak de ergste kwetsbaarheid sinds het massagebruik van het internet begon”, zei ceo Matthew Prince van cybersecuritybedrijf Cloudflare tegen Wall Street Journal.

Kaspersky meldt tegenover persbureau Reuters dat door staten gesteunde hackersgroepen al misbruik probeerden te maken van de Heartbleed-bug kort voordat deze in de openbaarheid kwam. Sindsdien proberen steeds meer hackers mee te doen.

“Het probleem is verraderlijk. Het is nu tijd voor de amateurs. Iedereen doet het.” Het is dus het beste om het zekere voor het onzekere nemen. Vernieuw je wachtwoorden, maar niet voordat de site gerepareerd is voor Heartbleed.


McAfee verwacht in 2014 mobiele cyberdreiging

McAfee verwacht  in 2014 cyberdreiging op mobiele platforms

1. Mobiele malware zorgt voor de grootste cyberdreiging

  • Nieuwe malwarevarianten voor Android namen recent met 33 procent toe.
  • Nu we steeds meer mobiele apparaten gebruiken, zal er ook steeds meer ransomware verschijnen voor mobiele apparaten.
  • Ook zullen we meer aanvallen zien met legitieme apps die zijn aangepast om informatie te stelen.

2. Virtuele valuta zoals Bitcoin zullen zorgen voor nieuwe generaties ransomware, die vergelijkbaar zijn met Cryptolocker.

3. Zowel criminelen als overheden zullen nieuwe stealth-aanvallen inzetten die moeilijker te identificeren en tegen te houden zijn. Bijvoorbeeld aanvallen die sandboxing-maatregelen detecteren en  pas actief worden, als ze waarnemen dat ze rechtstreeks op een onbeschermd systeem draaien. Verder kunnen we malware verwachten die al zijn sporen wist en zichzelf verwijdert nadat een doelwit is geïnfecteerd.

4.  We kunnen steeds meer aanvallen verwachten die gebruikmaken van social media om wachtwoorden te stelen of om informatie te achterhalen.

5. Ook zullen cybercriminelen meer misbruik maken van kwetsbaarheden die zich onder het niveau van het besturingssysteem bevinden, in het opslagsysteem en zelfs in het bios.

6. De cloud biedt criminelen nieuwe aanvalsmogelijkheden. Cybercriminelen zullen datacenters en cloud diensten aanvallen.

Lees hier verder op Computable.

Indentiteitsdiefstal onderschat

Diefstal identiteit nog onderschat

Kinderombudsman Marc Dullaert constateert dan sociale netwerken als Facebook en Twitter te weinig ondernemen om probleemgevallen op te lossen

Dullaert startte het onderzoek na ervaringen van stichting Mijn Kind Online, die 4 jonge slachtoffers van online identiteitsdiefstal bijstond. Zo kwam een tiener met sproeten op Twitter met zijn foto, buitenom zijn eigen toedoen. Daarbij stonden teksten als ‘hij had nooit geboren mogen worden’.

Het lukt bedrijven als Facebook en Google maar niet om de foto uit te bannen”, zegt Remco Pijpers, directeur van Mijn Kind Online. „Als het om kinderporno gaat is het binnen enkele uren verwijderd, gaat het om online-identiteitsdiefstal dan is het kennelijk geen prioriteit.”

Nederlanders doelwit van ‘Microsoft’-oplichters

Valse ondersteuningsdesk

Nederlandse consumenten worden nog steeds lastig gevallen door criminelen die aangeven vanuit Microsoft te handelen

Ondanks dat al verschillende keren in de media gemeld is dat fraudeurs telefonisch pc-bezitters benaderen om ze te verleiden malware te installeren en op te lichten, neemt het aantal getroffen consumenten nog steeds toe.

Veelal melden de bellers te werken voor een ondersteuningsdesk van Microsoft en vragen ze toegang tot de pc om een virus te verwijderen. Vervolgens wordt de pc overgenomen en kan met het internetbankieren gefraudeerd worden.

Ook komt het voor dat oplichters na het oplossen van een verzonnen probleem een vergoeding voor de geleverde ‘diensten’ eisen.

In China is internet schoon

Chinese overheid verklaart internet schoon

De Chinese overheid geeft aan het internet in het land succesvol te hebben opgeruimd. Het is nu vrij  van geruchten, negativiteit en weerbarstigheid.

De Chinese overheid heeft de overwinning verklaard wat betreft het schoonmaken van internet en dan specifiek het opruimen van geruchten, negativiteit en weerbarstigheid online.

Volgens sommigen maakt de overheid het zo nog moeilijker om kritiek te uiten op de Communistische Partij.

In de zomer werd de schoonmaakactie gestart:

  • Iedereen werd gearresteerd die deed aan verspreiden van geruchten.
  • Er werden nieuwe straffen opgelegd aan bloggers die lasterlijke informatie plaatsten.
  • Ook werden de topbloggers van het land gevraagd om de ‘nationale belangen’ te bewaken en ‘sociale orde’ voorop te stellen.
  • Tegelijkertijd vergrootten de overheidsinstellingen hun aanwezigheid op het web.

Bron: Associated Press op Yahoo en Tweakers

Anoniem emailen met Thunderbird

Anoniem emailen met de Tor-extensie voor Thunderbird

Anoniem emailen kan een duidelijke keuze voor je zijn. Er is nu een nieuwe oplossing; als je van TorBirdy gebruik maakt wordt alle e-mail via het Tor anonieme netwerk verstuurd. Hierdoor wordt je eigen IP-adres verborgen.

TorBirdy 0.1.2 bevat verschillende aanpassingen en nieuwe features. Zo werkt de extensie direct vanaf Thunderbird 10. Ook is het mogelijk om de TorBirdy-instellingen terug te zetten en is het mogelijk om via één knop te controleren of er voor alle gebruikte e-mailaccounts nieuwe berichten zijn.

Handig voor als je veel reist en bijvoorbeeld je locatie wilt verbergen.

TorBirdy werkt met de e-mailprotocollen SMTP en IMAP/POP3, maar POP3 krijgt de voorkeur boven IMAP, omdat het een veel eenvoudiger protocol is.

Internetbankieren, nieuwe regels

Voorwaarden voor vergoeding na hack internetbankieren

Als klant moet je voortaan aan de volgende regels voldoen, wil je van de bank een schadevergoeding krijgen na een hack bij internetbankieren:

  1. De beveiligingscode mag niet zijn uitgelekt
  2. De bankpas mag nooit door iemand anders zijn gebruikt
  3. Apparatuur die voor bankzaken wordt gebruikt (meestal een pc) moet zijn voorzien van actuele beveiligingssoftware
  4. Je moet kunnen aantonen dat je je bankafschriften geregeld controleert
  5. en je moet bij mogelijke incidenten direct melden

Daarnaast blijven de banken ruimte hebben om schade te vergoeden uit coulance

Gratis virusscanner een van de beste

Gratis virusscanner Avast goed

avastHet Duitse AV-Test constateert medio 2013:

  • De Internet Security Suites van Bitdefender, F-Secure en Kaspersky Lab scoren 100% op detectie van malware
  • Het gratis Avast Antivirus Free staat met een score van 98% in de Top 10 en scoort als het om detectie gaat beter dan betaalde oplossingen van ESET, AVG en McAfee. Daarmee moet het de gratis software Bitdefender (17,2), Kaspersky (16) en Symantec (15,5) voor zich laten, maar staat het boven de commerciële programma’s van ESET, McAfee, Webroot en Avira.