Deprecated: class-phpmailer.php is verouderd sinds versie 5.5.0. Gebruik in plaats daarvan wp-includes/PHPMailer/PHPMailer.php. The PHPMailer class has been moved to wp-includes/PHPMailer subdirectory and now uses the PHPMailer\PHPMailer namespace. in /www/wp-includes/functions.php on line 4963 Deprecated: class-smtp.php is verouderd sinds versie 5.5.0. Gebruik in plaats daarvan wp-includes/PHPMailer/SMTP.php. The SMTP class has been moved to the wp-includes/PHPMailer subdirectory and now uses the PHPMailer\PHPMailer namespace. in /www/wp-includes/functions.php on line 4963 News – Pagina 67 – Securatis

Categorie archief News

doorSecuratis

Goedkoop Androidtoestel lekt data via vooraf geïnstalleerde apps

Een goedkope Androidtelefoon die voor 19 dollar in de Filipijnen wordt aangeboden blijkt via de vooraf geïnstalleerde apps allerlei gegevens van gebruikers te lekken en de apps zijn niet verwijderen. Dat laat onderzoek van privacyorganisatie Privacy International zien. Het gaat om de MYA 2-telefoon, maar de problematiek zou ook bij tal van andere goedkope toestellen spelen.

De apps op de telefoon hebben standaard toegang tot allerlei zaken zoals het adresboek, camera, microfoon, locatiegegevens, sms-berichten, opslag en de mogelijkheid om te bellen. Wat ook opvalt aan de telefoon is dat die Android 6.0 draait, een oude Androidversie die in 2015 uitkwam. “Doordat de telefoon verouderde software draait worden gebruikers blootgesteld aan bekende kwetsbaarheden die in modernere versies van Android zijn gepatcht”, aldus de onderzoekers.

Niet alleen lopen gebruikers risico qua security, ook de privacy is in gevar. Zo probeert een registratie-app op de telefoon continue zonder versleuteling registratiegegevens van de gebruiker naar een server te versturen. De server die de gegevens moet ontvangen is echter niet meer bereikbaar. Toch blijft de app proberen om de gegevens te versturen. Daarnaast vonden de onderzoekers verschillende beveiligingsproblemen met de apps. Doordat die vooraf zijn geïnstalleerd kunnen gebruikers die niet verwijderen.

Volgens Privacy International laat het onderzoek zien dat voor mensen die alleen maar goedkope telefoons kunnen aanschaffen privacy een luxe aan het worden is. “Het is tijd dat deze dubbele bestraffing stopt. Dat je economisch kwetsbaar bent zou niet moeten betekenen dat je je fundamentele rechten verliest en bedrijven hebben een verantwoordelijkheid om hun klanten te beschermen”, stelt Privacy International. Wie een goedkope telefoon koopt moet volgens de privacyorganisatie dan ook van zeven zaken op de hoogte zijn.

Imagehttps://www.security.nl/posting/627401/Goedkoop+Androidtoestel+lekt+data+via+vooraf+ge%C3%AFnstalleerde+apps?channel=rss

doorSecuratis

Freedom of the Press waarschuwt journalisten voor G Suite

De narigheid bij dit hele verhaal is Google’s positie. Google is niet “unbiased”, Google is niet neutraal. Google is een politiserende factor, al is het alleen al vanwege de ingenomen positie vanwege de core-business en met welke krachten het ïn bed ligt”.

Google’s leiderschap is daarnaast ook nog beinvloed(baar) door de heersende denkbeelden op de Amerikaanse universiteiten, uitgedragen door neo-marxisten als bijvoorbeeld Saul Alinsky, zoals ook onze partijen als Groenlinks
en de hen steunende christelijke links-denkers, de nieuwlichterij van ChristenUnie bijvoorbeeld erdoor wordt beinvloed.

Het conservatieve nationale en anti-globalistische denken staat tegenwoordig sterk onder druk en de “journo” is dan ook niet vrij in zijn of haar publiceren. Blijf je niet netjes binnen de van je verwachte poly-color lijntjes kleuren, kun je je loopbaan wel opgeven. Zelfde geldt voor onafhankelijk onderzoek dat bepaalde grote belangen belemmert. Je kunt het anders dan verder “wel schudden”. Twijfel aan wat multinationals aan “onderzoek” presenteren voor de mega-winsten bijvoorbeeld. Grote onvrijheid op dit vlak.

In wezen is men nog vrij naar het woord, de daden spreken echter een andere taal. Neen, ik heb het niet over Feyenoord.

Maar alle info wordt dan ook niet gedeeld en is ook niet altijd voor handen om zich een compleet beeld te vormen.
Waar lazen we bijvoorbeeld dat Kashoggi voortkwam uit een Turks wapenhandel imperium? Je moet hel goed zoeken om die info te vinden binnen alle tumult van het moment. De vingertjes wijzen weerzoals meestal of altijd een bepaalde gemanipuleerde kant uit, toch?

“Saytan” regeert de wereld, mensen, en deze geestelijke machthebber met zijn vleselijke psychopatische vazallen is de manipulator vanaf den beginne, jaloers tot in de afgrond. De “duvel en zijn ouwe moer”, zeggen we niet voor niets.
Zijn grootste kracht is te verhullen dat ie zelfs bestaat. Maar kijk goed uit uw ooghoeken en blijf “gewoon”doen.
Tor en anonimiseren alleen is niet voldoende. We are the Borg, resistence is futile.

Goed weekend, folks,

J.O.

https://www.security.nl/posting/627394/Freedom+of+the+Press+waarschuwt+journalisten+voor+G+Suite?channel=rss

doorSecuratis

Encryptiesoftware VeraCrypt introduceert RAM-versleuteling

Na meer dan een jaar is er een nieuwe versie van de encryptiesoftware VeraCrypt verschenen die allerlei nieuwe beveiligingsfeatures bevat. VeraCrypt is een opensource-encryptieprogramma voor Linux, macOS en Windows gebaseerd op het populaire TrueCrypt waarvan de ondersteuning in 2014 werd gestopt.

De vorige versie dateert al weer van 12 september 2018. Afgelopen zondag verscheen VeraCrypt versie 1.24. Deze versie introduceert RAM-encryptie voor sleutels en wachtwoorden. Dit moet voorkomen dat ze bijvoorbeeld via coldbootaanvallen uit het werkgeheugen worden gelezen. Dergelijke aanvallen zijn al sinds 2008 bekend. Destijds ontdekten onderzoekers dat encryptiesleutels in het geheugen van de computer worden opgeslagen en niet meteen hieruit verdwijnen als het systeem niet op een juiste wordt uitgeschakeld en weer wordt ingeschakeld. Door de geheugenchips met stikstof te besproeien blijft de informatie lang genoeg aanwezig om te kunnen achterhalen. VeraCrypt heeft hier nu bescherming voor toegevoegd. Een nadeel is wel dat hierdoor Windows Hibernation niet meer mogelijk is wanneer VeraCrypt systeemversleuteling ook wordt gebruikt.

Daarnaast beschikt de software over verschillende opties om encryptiesleutels uit het geheugen te wissen. Zo worden de systeemencryptiesleutels bij het uitschakelen of herstarten van de computer uit het geheugen gewist. Ook dit moet bescherming tegen coldbootaanvallen bieden. Daarnaast biedt de software een optie om alle encryptiesleutels uit het geheugen te wissen als er een nieuw apparaat op het systeem wordt aangesloten en is het mogelijk voor applicaties om in noodgevallen de encryptiesleutels uit het geheugen te laten wissen. Verder zijn er problemen met de VeraCrypt UEFI-bootloader verholpen en is de wachtwoordlengte uitgebreid naar 128 bytes voor non-system volumes.

Image

https://www.security.nl/posting/627296/Encryptiesoftware+VeraCrypt+introduceert+RAM-versleuteling?channel=rss

doorSecuratis

Ransomware omzeilde antivirus via zerodaylek in iTunes

Ontwikkelaars van de BitPaymer-ransomware hebben een zerodaylek in de Windowsversie van iTunes gebruikt om antivirussoftware te omzeilen, zo stelt securitybedrijf Morphisec. Misbruik van de kwetsbaarheid werd afgelopen augustus waargenomen. Apple kwam deze week met een beveiligingsupdate voor de Windowsversies van iTunes en iCloud.

Het ging om een zogeheten “unquoted service path” kwetsbaarheid in de updater van Bonjour. Bonjour is software waarmee iTunes gedeelde muziek op andere computers in een lokaal netwerk kan vinden. Het wordt samen met iTunes geïnstalleerd. Via de kwetsbaarheid konden aanvallers die al toegang tot een systeem hadden Bonjour gebruiken om de BitPaymer-ransomware uit te voeren. Bonjour is digitaal gesigneerde en bekende software. Door de software voor de installatie van de ransomware te gebruiken konden aanvallers detectie door antivirussoftware omzeilen, aldus Morphisec.

Een bijkomend probleem is dat Bonjour als los onderdeel wordt geïnstalleerd. Wanneer gebruikers iTunes verwijderen moeten ze Bonjour apart verwijderen, anders blijft het aanwezig op het systeem. Het securitybedrijf claimt dat het tijdens een eigen onderzoek tal van bedrijfsmachines ontdekte waar iTunes was verwijderd, maar Bonjour nog steeds aanwezig was. Zodoende blijft de updatetool als taak actief.

De onderzoekers merken op dat de kwetsbaarheid het niet mogelijk maakt voor een aanvaller om zijn rechten te verhogen. Daarnaast is het ook niet mogelijk om via het lek toegang tot een systeem te krijgen. Een aanvaller zou al toegang tot het systeem nodig hebben om de kwetsbaarheid te kunnen misbruiken. BitPaymer wist eerder Amerikaanse steden en ziekenhuizen in Schotland te infecteren.

https://www.security.nl/posting/627290/Ransomware+omzeilde+antivirus+via+zerodaylek+in+iTunes?channel=rss

doorSecuratis

“Meeste Amerikanen weten niet dat WhatsApp van Facebook is”

De meeste Amerikanen weten niet dat WhatsApp eigendom van Facebook is of wat https en private browsing precies doen, zo Dat stelt het Pew Research Center op basis van een online quiz die door meer dan 4200 Amerikanen werd gedaan.

Deelnemers aan de quiz kregen verschillende vragen voorgeschoteld. Zo weet 30 procent dat bij https het verkeer wordt versleuteld en kan 28 procent een voorbeeld van tweefactorauthenticatie herkennen. De werking van private browsing, waarbij het browsegedrag alleen voor andere gebruikers op dezelfde computer niet zichtbaar is, is bij 24 procent bekend.

Verder weet 29 procent dat WhatsApp en Instagram eigendom van Facebook zijn. Het verdienmodel van sociale netwerksites is wel bij de meeste ondervraagde Amerikanen bekend. 59 procent weet dat Facebook en andere sociale mediaplatformen hun geld via advertenties verdienen. Ook de werking van cookies en dat phishing op allerlei platformen kan voorkomen hebben de meeste deelnemers goed. De resultaten laten verder zien dat jongeren en hoger opgeleiden meer vragen goed hebben dan ouderen en lager opgeleiden.

Image

https://www.security.nl/posting/627152/%22Meeste+Amerikanen+weten+niet+dat+WhatsApp+van+Facebook+is%22?channel=rss

doorSecuratis

Senator VS wil label voor IoT-apparaten met camera of microfoon

Fabrikanten van Internet of Things-apparaten die over een camera of microfoon beschikken moeten dit verplicht aan gebruikers melden, zo vindt de Amerikaanse senator Cory Gardner. Om dit wettelijk af te dwingen heeft Gardner de “Protecting Privacy in our Homes” wetgeving geïntroduceerd.

Aanleiding voor het wetsvoorstel zijn verschillende producten, waaronder de Google Nest, die over een microfoon bleken te beschikken zonder dat gebruikers dit wisten. “Consumenten hebben met allerlei uitdagingen te maken als het om hun privacy gaat, maar het zou geen uitdaging moeten zijn om te achterhalen of een apparaat dat ze hebben gekocht over een camera of microfoon beschikt”, aldus Gardner. Zijn wetsvoorstel verplicht de Amerikaanse toezichthouder FTC om een procedure te ontwikkelen waarmee fabrikanten van IoT-apparatuur met camera of microfoon worden verplicht dit aan kopers te melden.

“Op deze manier weten consumenten of het apparaat over een camera beschikt die beelden kan opnemen of een microfoon die kan luisteren, en kunnen vervolgens vragen stellen over waar deze data naar toe gaat en hoe die wordt gedeeld”, aldus de senator. Hoe fabrikanten gebruikers moeten informeren laat Gardner aan de FTC over. Volgens de senator maken mensen zich terecht zorgen dat ze stiekem worden afgeluisterd en moet het wetsvoorstel de privacy van mensen beschermen. Of het wetsvoorstel wordt aangenomen is nog onduidelijk. Volgens GovTrack is er een kans van 3 procent dat het plan van Gardner uiteindelijk wetgeving wordt.

Image

https://www.security.nl/posting/627141/Senator+VS+wil+label+voor+IoT-apparaten+met+camera+of+microfoon?channel=rss

doorSecuratis

Bruins wijst zorginstellingen op dubbele versleuteling bij cloudopslag

Door ph-cofi: Klopt het mijn veronderstelling: als de persoonsgegevens versleuteld worden vóór opslag in de cloud, zijn het geen tot de persoon herleidbare gegevens meer en is de AVG niet van toepassing? Daarmee is het een alternatief voor DPIA’s et al? Dat zou de organisaties flink geld kunnen sparen.

Het zou toegang tot de gegevens door zorgpersoneel kunnen hinderen, zeker over instellingen heen (oftewel, iedereen moet het wachtwoord weten, dat daardoor ook niet vaak kan wijzigen).

Lang antwoord, maar je moet je eerst afvragen of “de data in de cloud” wordt opgeslagen bij een SaaS-dienst of bij een IaaS/PaaS-dienst.

Om te beginnen: Zowel bij SaaS als IaaS/PaaS is de cloudprovider verantwoordelijk voor een adequate beveiliging, Onderdeel van deze adequate beveiliging is dat alles door de cloudprovider als enqrypted is (1e laag encryptie). Tenminste als je het juiste contract gesloten hebt (ik zou het nalezen, bij dezelfde cloudprovider kan door verschillende instellingen/bedrijven een ander type contract/beveiliging onderhandeld worden). Vraag dus of de overall-dienst bij de cloudprovider en iedere afgenomen sub-dienst bij de cloudprovider aan de certificeringseisen voldoet voor de betreffende bedrijfssector, en laat dit contractueel vastleggen.

Dan SaaS:
Je kan prima bij de cloudprovider de data encryted uploaden, maar dan kan je waarschijnlijk die SaaS applicatie niet meer gebruiken. Immers: Alles is onleesbaar geworden. Bij SaaS is het in dat geval nog belangrijker om echt nogmaals alle certificeringen na te lopen, onafhankelijke audits uit te voeren of audit rapporten op te vragen. En dan als instelling/bedrijf bepalen of het risico op een adequate manier afgedekt is bij de cloudprovider. En, let er op, de instelling/bedrijf blijft altijd zelf verantwoordelijk, zeker bij SaaS een attentiepunt.

IaaS/PaaS:
Dan heb je als instelling/bedrijf goed de mogelijkheid om daadwerkelijk die 2e laag encryptie toe te passen (met wat kanttekeningen/uitzonderingen). Maar je moet je als instelling/bedrijf ook realiseren dat bij IaaS/PaaS er veel meer eigen verantwoordelijkheid komt te liggen bij je zelf. O.a. dus het uitvoeren van deze 2e laag encryptie. En ook nog het beveiligingen van alle andere type toegang: Firewall, Passwords, database ConnectieStrings, Logging en Audit, Patching van OS en Applicatie, Review van je applicatie-code, Backups (gewoon nog een 3e keer encrypten), enz enz enz

https://www.security.nl/posting/627007/Bruins+wijst+zorginstellingen+op+dubbele+versleuteling+bij+cloudopslag?channel=rss

doorSecuratis

Google verhelpt ernstige beveiligingslekken in Android

Google heeft deze maand meerdere ernstige beveiligingslekken in Android verholpen waardoor een aanvaller op afstand toegang tot kwetsbare toestellen had kunnen krijgen. In totaal zijn er deze maand 28 beveiligingslekken in het besturingssysteem gepatcht. Elf daarvan zijn er als ernstig bestempeld.

Deze kwetsbaarheden bevonden zich in het Media-framework en onderdelen van chipfabrikant Qualcomm. Via de lekken in het Media-framework kon een aanvaller op afstand willekeurige code op toestellen uitvoeren als er een speciaal geprepareerd bestand naar het doelwit werd verstuurd, bijvoorbeeld via mms of e-mail.

Zerodaylek

Voor Pixel 1- en 2-toestellen heeft Google een beveiligingsupdate uitgebracht waarmee een zerodaylek wordt verholpen. Deze kwetsbaarheid werd actief aangevallen voordat de patch beschikbaar was. Via dit lek kon een aanvaller die al toegang tot een Androidtoestel had volledige controle over het apparaat kan krijgen.

Om misbruik van de kwetsbaarheid te maken zou er eerst een kwaadaardige applicatie op de telefoon moeten worden geïnstalleerd. In het geval van een aanval via het web, bijvoorbeeld bij het openen van een website, was een aanvullend beveiligingslek vereist. Het zerodaylek alleen was niet voldoende om toegang tot een Androidtoestel te krijgen. Naast de Pixel 1- en 2-toestellen is dit lek ook aanwezig in de meeste Androidtoestellen die voor de herfst van 2018 zijn uitgekomen. Of en wanneer deze toestellen een update ontvangen is onbekend.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de oktober-updates ontvangen zullen ‘2019-10-01’ of ‘2019-10-05’ als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van oktober aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.

https://www.security.nl/posting/626998/Google+verhelpt+ernstige+beveiligingslekken+in+Android?channel=rss

doorSecuratis

Autoriteit Persoonsgegevens onderzoekt privacy in ‘smart cities’

De Autoriteit Persoonsgegevens is een verkennend onderzoek gestart naar de ontwikkeling van ‘smart cities’ en hoe gemeenten hierbij met de privacy van bewoners en bezoekers omgaan. Binnen smart cities worden op allerlei manieren gegevens verzameld en gecombineerd en datagedreven oplossingen ingezet.

De privacytoezichthouder zegt innovatief gebruik van data, die voor een meerwaarde in de openbare ruimte kan zorgen, toe te juichen. Voorwaarde is wel dat de privacy van burgers is gewaarborgd. “De smart city-toepassingen moeten namelijk voldoen aan de eisen van de AVG”, aldus Aleid Wolfsen, voorzitter van de AP.

Zo moeten gemeenten in kaart brengen welke privacyrisico’s de ontwikkeling van smart city-toepassingen met zich meebrengen. Voordat er met de verwerking van persoonsgegevens wordt begonnen moeten deze risico’s beheersbaar worden gemaakt. Dit wordt gedaan met een ‘data protection impact assessment’ (DPIA). “Als de gemeente geen maatregelen kan treffen om de privacyrisico’s af te dekken en er hoge restrisico’s blijven bestaan, moet zij de verwerking in een zogeheten voorafgaande raadpleging aan de AP voorleggen”, aldus de toezichthouder.

De Autoriteit Persoonsgegevens vraagt nu van een specifieke groep gemeenten de DPIA’s op. Later zal aan meer gemeenten die zich met smart city-oplossingen bezighouden informatie worden gevraagd. Met het verkennend onderzoek wil de privacytoezichthouder inzicht krijgen op wat voor manieren er binnen smart cities persoonsgegevens worden verwerkt en waarvoor.

https://www.security.nl/posting/626845/Autoriteit+Persoonsgegevens+onderzoekt+privacy+in+%27smart+cities%27?channel=rss

doorSecuratis

Malware infecteert kassa’s Amerikaanse restaurantketens

Drie Amerikaanse restaurantketens en een supermarktketen hebben klanten gewaarschuwd dat hun kassasystemen besmet zijn geraakt met malware die ontwikkeld is om creditcardgegevens te stelen. Het gaat om Moe’s Southwest Grill, McAlister’s Deli, Schlotzsky’s en Hy-Vee.

De ketens maakten in augustus al kort melding van een beveiligingsincident, maar hebben nu meer details gedeeld. Bij supermarktketen Hy-Vee vond de eerste infectie van de kassasystemen al op 9 november 2018 plaats en ging door tot 29 juli van dit jaar. De malware op de kassa’s zocht naar naam van de creditcardhouder, kaartnummer, verloopdatum en interne verificatiecode.

Bij restaurantketens Moe’s Southwest Grill, McAlister’s Deli, Schlotzsky’s, die allemaal eigendom van Focus Brands zijn, was de malware actief van 11 april tot 22 juli dit jaar. Hoeveel klanten zijn getroffen en hoe de infecties zich konden voordoen laten de ketens niet weten. De restaurantketens hebben bij elkaar zo’n 1500 locaties, waarvan er honderden zijn getroffen, terwijl Hy-Vee meer dan 240 supermarkten heeft.

https://www.security.nl/posting/626829/Malware+infecteert+kassa%27s+Amerikaanse+restaurantketens?channel=rss