Categorie archief News

doorSecuratis

Gemeente Leiden lekt persoonsgegevens inwoners via bijlage

De gemeente Leiden heeft de persoonsgegevens van meer dan 130 adressen gelekt door per ongeluk een bijlage met de privédata op de gemeentewebsite te plaatsen. Het ging om aanvraagformulieren voor onttrekkingsvergunningen die onbedoeld als bijlage in dossiers op de website waren opgenomen.

Op deze formulieren hadden inwoners die een onttrekkingsvergunning hadden aangevraagd hun gegevens ingevuld, zoals burgerservicenummers, namen, adressen, geboortedata, e-mailadressen en telefoonnummers. Doordat de formulieren als bijlage bij de vergunningsdossiers waren toegevoegd, en deze dossiers via de vergunningswebsite van de gemeente Leiden zijn op te vragen, had iedereen de persoonsgegevens kunnen downloaden.

Hoe vaak de gegevens zijn gedownload kan de gemeente niet zeggen, zo meldt de website Sleutelstad. Na ontdekking van het datalek heeft de gemeente Leiden de gegevens offline gehaald en gedupeerden geïnformeerd. In de melding adviseert de gemeente om alert te zijn op signalen van misbruik van persoonsgegevens of identiteitsfraude.

https://www.security.nl/posting/663421/Gemeente+Leiden+lekt+persoonsgegevens+inwoners+via+bijlage?channel=rss

doorSecuratis

Nederlandse banken willen digitale EU-identiteit voor alle Europeanen

Er moet een digitale EU-identiteit voor alle Europeanen komen om in heel Europa zaken te kunnen doen
met bedrijven en overheden, zo stelt de Nederlandse Vereniging van Banken (NVB) in een document over bankieren in de 21ste eeuw (pdf). De vereniging ziet een belangrijke rol weggelegd voor de Nederlandse overheid bij het beschikbaar maken en gebruiken van de “e-Identity”, zoals de digitale identiteit wordt genoemd. Niet alleen in Nederland, maar in heel Europa.

Volgens de NVB is het huidige digitale identiteitslandschap in Europa gefragmenteerd en inconsistent. “Wat in het ene land werkt, werkt in een ander land vaak niet. Daardoor kunnen we er ook internationaal nog niet op vertrouwen dat de persoon met wie bedrijven (virtueel) contact hebben, daadwerkelijke is wie hij zegt te zijn en geautoriseerd is voor wat hij doet”, aldus de belangenbehartiger van de Nederlandse banken. Die voegt toe dat er ook te weinig bescherming tegen identiteitsfraude is en claimt dat personen en bedrijven te weinig grip op hun digitale identiteit hebben.

Binnen Europa is er de EU-verordening elektronische identiteiten en vertrouwensdiensten (eIDAS). Het doel van deze verordening is betere publieke en private onlinediensten en elektronische handel binnen Europa. Ook regelt eIDAS het grensoverschrijdend gebruik van elektronische identificatiemiddelen en vertrouwensdiensten tussen de lidstaten van de Europese Unie.

De NVB is van mening dat de Europese eIDAS-verordening niet goed is ingebed in nationale wetgeving. De Nederlandse overheid zou in Europees verband dan ook moeten gaan stimuleren dat de eIDAS-verordening beter ingebed wordt. “Dat moet ertoe leiden dat e-Identityoplossingen op Europese schaal inzetbaar zijn en niet beperkt blijven tot een elektronische versie van een papieren paspoort of enkel geschikt zijn voor Nederlandse overheidsdiensten”, aldus de NVB.

https://www.security.nl/posting/663419/Nederlandse+banken+willen+digitale+EU-identiteit+voor+alle+Europeanen?channel=rss

doorSecuratis

Overheid gaat toezien op nationale infrastructuur voor e-facturatie

Door Anoniem:

Door souplost: Hoe is de interoperabiliteit gegarandeerd? m.a.w. werkt het ook met niet windows systemen?

Je het ook het artikel gelezen?

Want je bent weer de grootste onzin aan het uitkramen, waarin het antwoord gewoon letterlijk in het artikel staat.
Want dit heeft helemaal NIETS met een OS te maken. Het is een standaard manier van uitwissen van facturen op basis van een XML formaat. Op welk OS de facturen verwerkt worden, maakt dus niet uit.

E-factureren is het elektronisch uitwisselen van factuurgegevens tussen leverancier en koper. Een e-factuur is een xml-bestand waarmee een gestandaardiseerde set aan factuurgegevens van de ene financiële administratie naar de ander financiële administratie wordt verzonden. Dankzij deze standaardisering kunnen financiële administraties e-facturen automatisch inlezen.

Door Anoniem:

Door souplost: Hoe is de interoperabiliteit gegarandeerd? m.a.w. werkt het ook met niet windows systemen?

Je het ook het artikel gelezen?

Want je bent weer de grootste onzin aan het uitkramen, waarin het antwoord gewoon letterlijk in het artikel staat.
Want dit heeft helemaal NIETS met een OS te maken. Het is een standaard manier van uitwissen van facturen op basis van een XML formaat. Op welk OS de facturen verwerkt worden, maakt dus niet uit.

E-factureren is het elektronisch uitwisselen van factuurgegevens tussen leverancier en koper. Een e-factuur is een xml-bestand waarmee een gestandaardiseerde set aan factuurgegevens van de ene financiële administratie naar de ander financiële administratie wordt verzonden. Dankzij deze standaardisering kunnen financiële administraties e-facturen automatisch inlezen.

Hoe kan iemand onzin uitkramen als hij alleen een vraag stelt ? De toeleveranciers rond de overheid zijn verslaaft aan Microsoft software dus is het logisch om te vragen of deze infrastructuur met een open staandaard werkt. Niet alle XML bestanden voldoen aan een open standaard. Default MSOffice xml bestand formaat voldoet bv niet aan een open standaard. De enige die onzin uitkraamt is U dus. Er wordt niet eens een (Europese) norm genoemd. XML staat niet bij facturatie en administratie https://www.forumstandaardisatie.nl/domein/e-facturatie-en-administratiehttps://www.security.nl/posting/663238/Overheid+gaat+toezien+op+nationale+infrastructuur+voor+e-facturatie?channel=rss

doorSecuratis

Coronadashboard uitgebreid met rioolwatermetingen RIVM

Het coronadashboard van de overheid laat nu ook de rioolwatermetingen van het RIVM zien, alsmede signalen vanuit de huisartsen over mogelijke besmettingen. De afgelopen maanden heeft het RIVM op 29 locaties onderzoek gedaan naar het virus in rioolwater. Uit het onderzoek blijkt dat het virus al zichtbaar is in uitwerpselen voordat mensen symptomen van het virus ervaren.

Het RIVM is nu gevraagd om zo snel mogelijk en voor 1 september alle ruim driehonderd rioolwaterzuiveringsinstallaties te monitoren. De tests die het RIVM nu al uitvoert zijn sinds gisteren aan het coronadashboard toegevoegd. Eerder liet minister De Jonge van Volksgezondheid weten dat informatie uit het rioolwater een mooie aanvulling is aan het dashboard, omdat hiermee anoniem, snel en op grote schaal het virus kan worden opgespoord.

Verder toont het dashboard nu signalen vanuit de huisartsen. Het Nivel houdt bij een groep huisartsen bij hoeveel mensen zich met klachten melden die op een infectie van het coronavirus wijzen. Deze informatie kan gebruikt worden als vroeg signaal dat de verspreiding van het virus toe- of afneemt. Tevens zal het coronadashboard wekelijks een update tonen van het aantal geschatte mensen dat besmettelijk is. Deze schatting is afkomstig van het RIVM en laat het aantal mensen in Nederland zien dat het virus heeft opgelopen en anderen kan besmetten. Dat aantal wordt vanaf nu elke week geüpdatet op het dashboard.

“Hoe meer nuttige informatie op het dashboard staat, hoe nauwkeuriger we de verspreiding van het coronavirus in Nederland in de gaten kunnen houden”, aldus De Jonge. “Het is heel goed dat het dashboard weer is uitgebreid en de komende tijd gaan we er nog meer informatie aan toevoegen. “

https://www.security.nl/posting/663235/Coronadashboard+uitgebreid+met+rioolwatermetingen+RIVM?channel=rss

doorSecuratis

Politie kon in real-time meelezen met berichten van EncroChat-gebruikers

De politie heeft sinds 1 april van dit jaar meer dan twintig miljoen chatberichten van Encrochat-gebruikers meegelezen. Dat is vandaag bekendgemaakt. EncroChat was een aanbieder van versleutelde communicatie. Het bedrijf leverde internationaal cryptotelefoons waarmee gebruikers versleuteld konden communiceren. Bij deze telefoons waren de camera, microfoon, gps en usb-poort verwijderd, aldus Europol.

Berichten op het toestel worden automatisch na een bepaalde periode gewist. Daarnaast beschikken de telefoons over een functie die alle informatie na het invoeren van een specifieke pincode wist. Volgens het Openbaar Ministerie waren er dit jaar wereldwijd meer dan 50.000 telefoons van EncroChat actief, waarvan ongeveer 12.000 in Nederland.

Gebruikers betaalden zo’n duizend euro voor de telefoon. Voor een abonnement van zes maanden met wereldwijde dekking en support moest vijftienhonderd euro worden betaald. De servers van EncroChat stonden in Frankrijk. Het Franse openbaar ministerie laat weten dat er een “apparaat” werd geplaatst waardoor er live met de berichten van gebruikers kon worden meegekeken. Het Nederlandse Openbaar Ministerie stelt dat politie de datastroom wist te ‘onderscheppen, uit te pluizen en te ontrafelen’

Specifieke details hoe de politie toegang tot de communicatie van EncroChat kon krijgen zijn niet bekendgemaakt. Wel laat de politie weten dat honderden rechercheurs dag en nacht de communicatie van duizenden verdachten live hebben kunnen volgen. Vice Magazine meldt dat de toestellen van EncroChat-gebruikers zijn geïnfecteerd met malware waardoor berichten konden worden gelezen en het wissen van informatie werd voorkomen. Op 13 juni verstuurde EncroChat een bericht naar gebruikers dat de dienst was gecompromitteerd en adviseerde om geen gebruik meer van de telefoons te maken. Iets wat de meeste gebruikers deden, aldus de politie.

Naar aanleiding van de onderschepte communicatie werden meer dan honderd verdachten in Nederland aangehouden, bijna twintig miljoen euro in beslag genomen, alsmede achtduizend kilo cocaïne en twaalfhonderd kilo crystal meth. Verder zijn er negentien synthetische drugslabs ontmanteld en tientallen vuurwapens in beslag genomen. In het Verenigd Koninkrijk werden 746 verdachten opgepakt, alsmede 54 miljoen pond, 77 vuurwapens en twee ton drugs in beslag genomen.

https://www.security.nl/posting/663222/Politie+kon+in+real-time+meelezen+met+berichten+van+EncroChat-gebruikers?channel=rss

doorSecuratis

Rathenau: AI heeft weinig zin als wachtwoorden en updates worden vergeten

Nieuwe technologieën zoals kunstmatige intelligentie, machine learning en post-kwantumcryptografie kunnen de digitale weerbaarheid van Nederland versterken, maar hebben weinig zin als eenvoudige basisveiligheidsmaatregelen zoals het installeren van updates en sterke wachtwoorden worden vergeten, zo stelt het Rathenau Instituut in een nieuw gepubliceerd onderzoek.

Volgens het instituut zijn nieuwe technologieën nodig om de cyberweerbaarheid te vergroten. Het is echter ook van groot belang om meer en beter gebruik te maken van bestaande, maar onderbenutte technologieën. Zowel nieuw en oud moeten worden gecombineerd. “Als zelfs basisveiligheidsmaatregelen als sterke wachtwoorden of software-updates onderbenut blijven, heeft het weinig zin om in te zetten op de nieuwste innovaties”, aldus het Rathenau Instituut.

Volgens het instituut blijkt steeds opnieuw dat veel eindgebruikers over te weinig expertise en capaciteit
beschikken om de cyberweerbaarheid van hun systemen en apparaten op orde te krijgen. Relatief
eenvoudige basisveiligheidsmaatregelen worden vaak niet of onvoldoende getroffen. Het gaat dan zowel om burgers, bedrijven als overheden.

Ook bij het vergroten van de weerbaarheid tegenover geavanceerde aanvallen, waarbij
bijvoorbeeld offensief gebruik wordt gemaakt van machine learning, worden bestaande, maar onderbenutte technologieën niet ingezet. Het Rathenau Instituut vindt dan ook dat de overheid sterker moeten sturen op het gebruik van dergelijke mogelijkheden om de cyberweerbaarheid te verhogen.

Zo kan de overheid als grote afnemer van digitale producten en diensten en als grote dienstverlener het goede voorbeeld geven door standaard gebruik te maken van tweefactorauthenticatie en binnen de eigen diensten Privacy Enhancing Technologies toe te passen. Daarnaast zouden overheid en vitale diensten een leidende rol moeten spelen in het stellen van strengere inkoopvoorwaarden aan digitale producten en diensten.

Expertise

Daarnaast moet er in mensen worden geïnvesteerd. Of het nu gaat om het vergroten van de digitale weerbaarheid met bestaande of nieuwe technologieën, dit is alleen mogelijk als er voldoende expertise aanwezig is. Het Rathenau Instituut adviseert dan ook dat zowel overheden, aanbieders van vitale diensten, overige bedrijven als toezichthouders over voldoende capaciteit en expertise beschikken. Er is echter een chronisch tekort aan experts. Het instituut roept daarom op meer te investeren in cybersecurityopleidingen.

https://www.security.nl/posting/663136/Rathenau%3A+AI+heeft+weinig+zin+als+wachtwoorden+en+updates+worden+vergeten?channel=rss

doorSecuratis

Microsoft rolt updates uit voor kwetsbaarheden in Windows Codecs Library

Microsoft heeft buiten de vaste patchcyclus om beveiligingsupdates uitgebracht voor twee kwetsbaarheden in de Codecs Library van Windows 10 en Windows Server. Via de beveiligingslekken kan een aanvaller in het ergste geval systemen op afstand overnemen.

De twee kwetsbaarheden, CVE-2020-1425 en CVE-2020-1457, worden veroorzaakt door de manier waarop de Microsoft Windows Codecs Library omgaat met objecten in het geheugen. Door een programma een speciaal gemaakte afbeelding te laten verwerken kan een aanvaller willekeurige code op het systeem uitvoeren.

Microsoft laat weten dat kwetsbare gebruikers automatisch via de Microsoft Store zullen worden geüpdatet. “Klanten hoeven geen actie te ondernemen om de update te ontvangen”, aldus het techbedrijf.

https://www.security.nl/posting/663056/Microsoft+rolt+updates+uit+voor+kwetsbaarheden+in+Windows+Codecs+Library?channel=rss

doorSecuratis

Wetsus maakt losgeldbedrag ransomware na overleg met politie niet bekend

Er moet snel een wet voor komen die het verbied te betalen aan dit soort criminelen.
En er moet een schuldige aangewezen worden die geen offline-backups heeft gemaakt.
En er moet meer gekeken worden naar de software die ze gebruiken, windows kan alles, dat is niet nodig als je minder risico wilt.

En maar waarschuwen dat je geen mailtjes mag aanklikken, en een antivirus moet installeren, etc. etc.
Over windows word geen woord gerept, geen waarschuwing niets, omdat er geen alternatief is ?
Een nog groter probleem is de software die ze klakkeloos in windows installeren.

Vriendjes-politiek ?, of word microsoft gepushed op scholen voor een gunstige prijs ?
Verbied op scholen om windows te gebruiken, de toekomst word zekerder.
Leer kinderen geen eindgebruiker van deze software te worden,
dan zullen ze later niet dat zo snel gebruiken.

Windows zegt : installeer een firewall en antivirus, het is niet onze schuld, als het mis is moet je bij de antivirus-fabrikant zijn.
Dat mensen daar niet over na denken, en ik het altijd moet herhalen ?

https://www.security.nl/posting/663033/Wetsus+maakt+losgeldbedrag+ransomware+na+overleg+met+politie+niet+bekend?channel=rss

doorSecuratis

Firefox 78 toont overzicht van datalekken en trackers in Protections Dashboard

Door Advanced Encryption Standard: Vijf jaar geleden waarschuwde EFF voor de mogelijkheid dat de National Security Agency (NSA) in staat was grote hoeveelheden HTTPS, SSH en VPN verbindingen te ontsleutelen, door gebruik te maken van een aanval op de implementaties van Diffie-Hellman Key exchange algorithm met 1024-bit primes.

Het is iets genuanceerder dan dat, het ging namelijk over een (of enkele) specifieke getallen/groepen. Daar komt bij dat voor de meeste verbindingen je waarschijnlijk ECDHE zal gebruiken omdat dit sneller is, waarvoor de genoemde aanval (https://weakdh.org/) in de praktijk lastig te misbruiken zal zijn. Het blijft iets waar aandacht voor nodig is, maar dan vooral op al die ooit ingestelde IPSEC tunnels waar nooit meer naar omgekeken wordt. (En voor de volledigheid: mocht je echt geen ECDHE kunnen gebruiken, gebruik dan een van de groepen uit RFC7919)

Ook vandaag heb ik gemerkt dat de laatste Tor-browser die ik heb (versie 9.5) de oude waarden nog steeds heeft en dan moet de gebruiker erop dubbelklikken om alles op FALSE te zetten.

Dat is sterk af te raden, de lijst met ondersteunde ciphers is namelijk zichtbaar bij het opzetten van de verbinding en daarmee te fingerprinten. Als jij als enige deze aanpassing maakt, is daarmee in een oogopslag te zien (voor inlichtendiensten, ISP’s, exit nodes, etc.) dat het om jou verkeer gaat. Pas in de tor browser dus geen instellingen aan die je fingerprint veranderen.https://www.security.nl/posting/663005/Firefox+78+toont+overzicht+van+datalekken+en+trackers+in+Protections+Dashboard?channel=rss

doorSecuratis

NCSC adviseert organisaties om geen losgeld bij ransomware te betalen

Organisaties die door ransomware worden getroffen moeten het losgeld voor het ontsleutelen van hun bestanden niet betalen, zo adviseert het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid. Het NCSC heeft vandaag een factsheet gepubliceerd waarin advies wordt gegeven om infecties door ransomware te voorkomen en wat organisaties in het geval van een besmetting kunnen doen.

Om ransomware te voorkomen wordt een combinatie van technische en organisatorische maatregelen aangeraden. Het gaat onder andere om het gebruik van spamfilters, het regelmatig uitvoeren van phishingtests, het trainen van personeel in hoe ze met phishingmails moeten omgaan, het verhogen van de awarenees van het personeel, het tijdig installeren van beveiligingsupdates, het beperken van usb-gebruik, het uitschakelen van macro’s in Microsoft Office en het toepassen van applicatiewhitelisting.

In het geval van een succesvolle aanval zijn de herstelmaatregelen afhankelijk van de omvang van de infectie. In het geval van een beperkte infectie kan worden volstaan om het besmette systeem uit het netwerk te halen en indien nodig opnieuw te installeren. Bij een netwerkbrede infectie wordt aangeraden om het netwerk van de buitenwereld af te sluiten en experts in te schakelen.

Daarnaast wordt geadviseerd om de infectie bij de politie te melden. Ook moeten organisaties nagaan of ze verplicht zijn de besmetting te melden, bijvoorbeeld bij het NCSC, een toezichthouder, een opdrachtgever of bij een andere instantie.

Niet betalen

Bij een succesvolle ransomware-aanval komen organisaties ook voor de vraag te staan of ze het losgeld gaan betalen of niet. Het NCSC raadt dit af, voornamelijk omdat er geen garantie is dat dit het probleem oplost. “De kans is groot dat er bij de ontsleuteling tal van problemen opduiken. De decryptor die door de cybercriminelen wordt geleverd, heeft vaak veel minder aandacht gekregen dan de versleutelingsoftware. Hierdoor zijn de gegevens in het slechtste geval niet meer te herstellen”, aldus de overheidsinstantie.

Daarnaast moedigt het betalen van het losgeld criminelen aan om met hun aanvallen door te gaan. “Met als gevolg meer infecties, meer slachtoffers en meer schade voor de samenleving”, merkt het NCSC op. De organisatie is ook bekend met slachtoffers die het gevraagde losgeld betaalden, waarna er een hoger bedrag van hen werd geëist. Sommige slachtoffers werden na enige tijd opnieuw door dezelfde ransomware getroffen.

https://www.security.nl/posting/662997/NCSC+adviseert+organisaties+om+geen+losgeld+bij+ransomware+te+betalen?channel=rss