Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Hoe grote ISP (klant relatie) feedback verzamel topic - Hoe is jou ISP omgegaan met het ssl heartbleed bug?

12-04-2014, 18:04 door Anoniem, 19 reacties
Overal op het internet kom je het tegen, het grootste internet lek zoals velen doen vermelden.
Het is een wirwar van berichten als je het niet gevolgd hebt, en het is zeer lastig te pijlen waar te beginnen wat er moment nog actueel is.
Voor de meeste van ons stappen wij hier gelukkig zo in, want anders had je dit bericht waarschijnlijk ook niet gelezen hoogstwaarschijnlijk bezoek je security.nl niet of nauwelijks.
Het is de kleine minderheid die begrijpt, snapt en volgt wat er allemaal exact heeft voorgedaan.
Maar het overige gedeelte, de grote grote is net zo in vatbaar voor alle gevaren die hierdoor extra op de loer zijn gekomen, en misschien nog wel zelfs een onbewust groter risico lopen omdat men nog al eens vaker in een minder bekende situatie terecht kan komen.

Ik kan het misschien mis hebben, maar is mijn ogen is het de taak, (ik vind misschien zelfs wel een plicht) van de internet providers om haar klanten hiervoor te waarschuwen, niet perse in detail, maar enig sinds misschien jip en Janneke taal en in hoeverre er bepaalde zaken voor de betreffende eindgebruiker een verhoogt gevaar vormen zodat hier alert op kan zijn en iets bewuster mee kan gaan als dat ze normaal gesproken doen.
Niet meer als normaal toch, zouden we zeggen. Als er landelijk noodweer opkomst is worden wij toch allemaal gewaarschuwd door onze overheid en hun voordiensten van het KNMI.

Zelf ben ik telfort klant, heb niks gehoord of gezien van telfort, niet dat ik daar op zat te wachten tot ik iets te horen kreeg.
Maar ben toch eens uit interrese op het klanten forum gaan kijken, waar ook stuk of wat telfort medewerkers actief op zijn. en nog een handje vol trouwe holigans en dat soort beter weters.

Ik heb er totaal niets over kunnen vinden, hebt zelfs nog even een aantal woorden door de zoekfunctie heen gehaald.
Maar het is daar nog niet eens ter sprake gekomen.

Is dit een bewuste keuze van telfort ouzo: wat men niet weet, dat kan geen kwaad..?


ik vraag me of hoe zijn de andere nederlandse ISP hier mee omgegaan.


Want ja zoals telfort zelf altijd zegt, wij houden geen logs bij van onze klanten.
Dus dat wil zeggen, men weet niet wat hun gebruiker zoals allemaal op het internet uitspookt (niets mis mee, zo hoort het ook)
Maar met die gedachte in het achterhoofd, loopt iedereen hoe dan ook toch een potentieel gevaar, en hoor je als ISP toch gewoon netjes je mannetje en om te zorgen dat je klanten niets overkomt.

Het mogen toch niet zo zijn, dat zij er nou werkelijke geen een hol om geven of iemand iets gebeurd?

Of had men geen zin om een keer echt aan het werk te moeten voor hun klanten?


het wekt bij mij nog veel vragen en irritatie op.
en wou dit even delen met jullie, wat jullie hiervan vinden, en hoe jullie het contact vanuit de provider zijnde ervaren hebben, of wat zij mogelijk ten werk hebben gesteld om het jullie onder de aandacht te brengen.
Reacties (19)
13-04-2014, 12:28 door Anoniem
Je kent de waarschuwingsdienst.nl?

Misschien moeten providers wel de educatie geven om je voor dat soort dingen aan te melden (al is deze niet erg actief meer sinds kort).
13-04-2014, 16:02 door Anoniem
Door Anoniem: Je kent de waarschuwingsdienst.nl?

Misschien moeten providers wel de educatie geven om je voor dat soort dingen aan te melden (al is deze niet erg actief meer sinds kort).

http://webwereld.nl/beveiliging/81266-overheid-staakt-waarschuwingsdienst-na-ruim-10-jaar
13-04-2014, 16:32 door Anoniem
nog wel een overheidssite, zijn allemaal partners en belanghebbende deze laatste paar dagen stilletjes vol zwijgen hebben doorgebracht.

je leidinggevende tegenspreken, of voor de voeten lopen is uit den boze dat weten we allemaal toch;)
13-04-2014, 21:13 door [Account Verwijderd]
Misschien als je Nederlands te leren en vragen goed uitgewerkt, kunnen wij u helpen. Hier kan ik mee doen, meer dan Google Translate.
14-04-2014, 11:31 door Anoniem
Als ik zo kijk naar de hoeveelheid fouten in dit stukje tekst, hoop ik dat degene die dit topic heeft geschreven geen programmeur is, want dan zal zijn programmeerwerk zelf één grote bug zijn.
14-04-2014, 14:25 door Anoniem
Door Anoniem: Is dit een bewuste keuze van telfort ouzo: wat men niet weet, dat kan geen kwaad..?
Ouzo, daar doet je topic me nog het meest aan denken ;]

ISP's hebben, buiten hun eigen webportaal en apparatuur geen enkele invloed op software, ook mogen ze niet zomaar 'over de schouder meekijken,' dus strikt genomen zou het zelfs een kwalijke zaak zijn als ISP's klanten hier persoonlijk over aan zouden schrijven. Een melding maken op telfort.nl lijkt me ook niet erg effectief.
Maar vraag het henzelf anders?
14-04-2014, 16:02 door Anoniem
Vind het lastig hier een serieuze reactie op te geven, vooral omdat ik niet echt weet waar ik nou op moet reageren...
14-04-2014, 17:04 door Anoniem
@ topic starter, als dit de essentie van je punt is :

Hoe is jou ISP omgegaan met het ssl heartbleed bug?

Ik heb er zo gauw ook niets over kunnen vinden.
Daarnaast blijft het inderdaad doodstil in de diverse mailboxen, geen oproepen tot het wijzigen van wachtwoorden of zelfs niet een bericht dat het niet speelt voor betreffende dienst.

Zou dat betekenen dat geen enkele Nederlandse provider kwetsbaar was voor de Heartbleed bug en geen enkele provider klant zijn wachtwoorden heeft hoeven wijzigen?
Dat zou een pluim zijn voor alle Nederlandse providers en de veiligheid van hun aangeboden diensten.
Daar kan de rest van de wereld nog wat van leren!

Ik geloof er eerlijk gezegd niets van en vind daarmee de gestelde vraag (in de titel) helemaal niet zo raar.
Op de vraag hoe het er dan wel voor staat kan ook ik je geen antwoord geven.
Misschien moet de informatievoorziening her en der nog op gang komen.


. . .


@ 'taalpuristen' , Reminder :

https://www.security.nl/rules

Algemeen

Wees respectvol richting andere bezoekers en moderators
15-04-2014, 00:12 door [Account Verwijderd] - Bijgewerkt: 15-04-2014, 00:15
Ik vind taalfouten geen probleem, maar een post die zo verschrikkelijk is geschreven (en ik overdrijf niet) wordt niet serieus genomen. Dat zijn geen spelfouten maar een verkrachting van de Nederlandse taal, en alleen met heel veel moeite fatsoenlijk leesbaar. Als je een lange OP maakt, zorg je in ieder geval dat je vraagstelling kort en "to the point" is. En leesbaar.
Je wilt dat iemand, zonder in elkaar te krimpen bij ieder woord, een fatsoenlijk antwoord geeft maar deze OP geeft daar geen kans voor.

Als ik moet gokken zou de OP ongeveer zo moeten zijn :


Hi all, mijn provider heeft niks gecommuniceerd over de heartbleed bug, wat zijn jullie ervaringen ?

Dan zou hij een goed antwoord krijgen, sommige zelfs onderbouwd.. Ik kan me voorstellen dat sommigen zouden reageren met :
-Klanten van een provider weten in 99% van de gevallen niks van deze bug, en willen geen mails met technische informatie waar ze zowiezo niets mee te maken hebben. Dus providers doen gewoon geen moeite.
-Op de website van onze provider staat een algemene melding dat onze provider alle heartbleed bugs verholpen heeft.
-Niks gehoord, en denk ook niet dat ze dat communiceren.

Maar de OP is *zo* onduidelijk dat de meesten het gewoon skippen.

Back on topic :
https://certificaat.kpn.com/pkioverheidcertificaten/servercertificaat/openssl-heartbleed/
http://storingsoverzicht.nl/2014/previder/heartbleed-openssl-bug/
http://www.aenova.nl/nieuws/heartbleed-bug-heeft-geen-gevolgen-voor-software-van-aenova/

Er wordt dus wel degelijk gecommuniceerd, maar je zult er naar moeten zoeken.. En da's goed, want de gemiddelde gebruiker kent alleen heartbreakers, geen heartbleeds :)
15-04-2014, 11:18 door Anoniem
Ik vind dit niet de taak van de internetprovider. Iedereen is verantwoordelijk voor z'n eigen security en iedereen kan er van alles over lezen op het internet.
15-04-2014, 16:03 door Anoniem
..niet de taak van de internetprovider. Iedereen is verantwoordelijk voor z'n eigen security en iedereen kan er van alles over lezen op het internet.

Nee,
de klant neemt een dienst af en de aanbieder heeft op zijn minst een morele plicht de klant goed en actief te informeren naar redelijke actieve mogelijkheden die zij binnen haar bereik heeft.

Er wordt dus wel degelijk gecommuniceerd, maar je zult er naar moeten zoeken.. En da's goed,

Nee,
niet de verantwoordelijkheid bij de klant leggen, probleem ligt aan de aanbieder kant, netjes om als aanbieder de klant op de hoogte te te stellen door haar actief te benaderen op een informatieve wijze.

Het probleem is ruim in de media aangekaart.
In algemene zin, gebruikers worden wel gealarmeerd maar kunnen niets met die informatie, gevolg; schrik en paniek.

Nos Journaal

"Diefstal wachtwoorden mogelijk door beveiligingslek in OpenSSL
dinsdag 8 april 2014"
http://nos.nl/video/633438-diefstal-wachtwoorden-mogelijk-door-beveiligingslek-in-openssl.html
( wat nou ; "Klanten van een provider weten in 99% van de gevallen niks van deze bug")

Mogelijke paniek weer wegnemen is het devies.
Daarom is het mede de verantwoordelijkheid van bedrijven die diensten aanbieden via beveiligde verbindingen om de klant te informeren dat zij (weer) veilig gebruik kunnen maken van die diensten.
- Op een website met een inlog mogelijkheid/functie kan (voorlopig) de melding staan dat betreffende site geen last (meer) heeft van de Openssl bug.
- Providers kunnen klanten een mail sturen waarin zij uitleggen wat de status is : Niet van toepassing en dus veilig, Weer veilig, Aanmoediging om zekerheidshalve bijvoorbeeld de inlog passwords te veranderen.

Samengevat
Veel gebruikers hebben via de media kennis genomen van de gevaren, zij snappen het niet en kunnen er zelf weinig aan verhelpen.
Aan de bedrijven die ermee te maken hebben de (verplicht) edele taak de klanten te informeren en daarmee angsten, onzekerheden weg te nemen en klantvertrouwen in de eigen aangeboden diensten te behouden, te creëren of te herstellen.

Waarom gebeurt dat toch niet? / of heel impliciet?
Misschien omdat dat imago schade kan opleveren (stel je voor je was kwetsbaar voor een bug waar je als provider op zicht niets aan kon doen, maar toch) en de concurrent het ook niet doet (ben je zogenaamd de enige die er last van had, stilzitten en zwijgen tot de storm weer voorbij is dan maar).

Niet meer dan netjes, verantwoordelijk en normaal om gebruikers gerust te stellen, goed en actief te informeren.
Dat is ook in het eigenbelang van de aanbieders en een mooi tegenwicht voor de media aandacht ; goed nieuws is namelijk te vaak geen nieuws.

Verantwoordelijkheden niet nemen door te zwijgen, passief ergens informatie aan te bieden en/of afschuiven op de eigen verantwoordelijkheid is een zeer slechte zaak (op het lakse af).
16-04-2014, 09:43 door Erwtensoep
Reactie van XS4ALL:
https://blog.xs4all.nl/2014/04/11/heartbleed-kritiek-lek-in-openssl/
16-04-2014, 11:11 door donnerd
Ik ben van mening dat providers in ieder geval behoorden te waarschuwen over hoe hun onderzoek verlopen is.
Dus of er wel of geen schade mogelijkheid was, dus het maakt niet uit of deze lek ook bij providers als UPC/T-Mobile/KPN aanwezig waren... ze moeten in ieder geval vertellen wat uit onderzoek gebleken was.
Was deze lek aanwezig? Dan behoorden providers in feite geforceerd wachtwoorden aan te laten passen.
Dus direct nieuwe wachtwoorden te generen en deze wachtwoorden bekend te maken aan de klanten.
16-04-2014, 12:24 door Briolet
Dit is een bug waar elke computergebruiker mee te maken heeft. Dus lijkt het me niet de taak van een bepaalde ISP om mensen hier op te wijzen. Deze bug is zelfs op het TV journaal genoemd, en ook een programma als 'Kassa' heeft hier aandacht aan besteed. Dan hoeft een ISP dat daar niet alsnog voor te waarschuwen. Iedereen die een beetje de media volgt moet inmiddels op de hoogte zijn.

Echte voorlichting voor het brede publiek is er natuurlijk niet geweest. Zo had het programma "Kassa" twee experts uitgenodigd, maar ze kregen niet de gelegenheid om echt iets over het onderwerp te vertellen, ook al kon je merken dat ze dat ze graag meer kennis kwijt wilden. Dan vraag ik me af waarom Kassa experts uitnodigt als ze niet dieper op het onderwerp mogen ingaan. De cameraman in de studio had waarschijnlijk precies evenveel kunnen vertellen over de bug als wat de experts nu mochten doen.

Een leuke uitleg van de bug in Jip & Janneketaal vond ik op xkcd: http://imgs.xkcd.com/comics/heartbleed_explanation.png
16-04-2014, 13:00 door Anoniem
Door Briolet: Dit is een bug waar elke computergebruiker mee te maken heeft. Dus lijkt het me niet de taak van een bepaalde ISP om mensen hier op te wijzen. Deze bug is zelfs op het TV journaal genoemd, ....

Neem eens de moeite de 16:03 reactie te lezen.

Het gaat niet meer zozeer (meer) om de uitleg van wat Heartbleed is maar om wat je als bedrijf eraan hebt gedaan om het op te lossen!

Welke van deze bedrijven ,

(Alice, ?), Antagonist, BBeyond, BBned, BIT, Byte, Caiway, CloudVPS, Concepts-ICT, Denit, Easynet, Eurofiber, Euronet, Eweka, Hostnet, InterNLnet, IP2, Leaseweb, Nieuws, NXS, Online, Overige, PCextreme, Previder, SIDN, Signet, Solcon, T-Mobile, Tele2, Telfort, UPC, Versio, Vodafone, X2com, XMS, XS4ALL / KPN, xYnta, Zeelandnet

heeft de simpele moeite genomen om hun klanten direct (!) per mail te informeren met als boodschap dat zij als klant veilig gebruik kunnen blijven maken van hun diensten?

Heartbleed melding ergens verstopt op een site?
Zeer klant onvriendelijk!


(lijstje bedrijven van storingsoverzicht)
16-04-2014, 16:21 door Erwtensoep
Ik zie iig dat Vodafone, Telfort en Ziggo nieuwe certificaten hebben en dus zeer waarschijnlijk kwetsbaar waren.
16-04-2014, 18:00 door Anoniem
Ik heb als hosting klant bij PCextreme op 9-4 een uitgebreide mail gehad over dit onderwerp compleet met aanwijzingen
voor populaire hosting operating systems om openSSL te updaten.
Keurige service.

Wat me nog steeds niet duidelijk is, is of deze bug alleen servers treft of ook clients.
Een malicious client kan informatie opvragen bij een server door een ping te doen en 64k server memory te retourneren.
Maar kan een malicious website ook 64k browser memory opvragen door een client die toevallig connect met een
browser die openssl 1.x gebruikt te pingen?

M.a.w. is dit alleen voor server operators een update issue en voor consumenten alleen een wachtwoord nachtmerrie,
of moeten consumenten OOK zorgen voor updates?
17-04-2014, 11:52 door Anoniem
Door Erwtensoep: Ik zie iig dat Vodafone, Telfort en Ziggo nieuwe certificaten hebben en dus zeer waarschijnlijk kwetsbaar waren.

Kranten
Volkskrant, nieuw : ssl-nl.persgroep.edgekey.net
17-04-2014, 16:46 door Anoniem
Mijn ISP is een idioot die niet eens de moeite neemt om mail servers te voorzien van encryptie op hun mail servers.

Het is redelijk onderbelicht dat mail servers net zo goed kwetsbaar zijn. En ook clients zoals curl en wget.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.