Internetveiligheid verslechtert (deel 1)

Robuuster internet nodig

De internetveiligheid verslechtert, stelt Govcert.nl, de informatiebeveiligingsdienst van de Nederlandse overheid. De internetinfrastructuur is kwetsbaar en netwerkverkeer van besmette computers neemt toe. In een nieuw rapport heeft het instituut de belangrijkste security-ontwikkelingen op een rij gezet.

1) Eindgebruikers blijven kwetsbaar
Internetcriminelen kunnen nog steeds met relatief gemak de computers van thuisgebruikers overnemen. Ze misbruiken lekken in software of de angst van gebruikers, door valse antivirussoftware aan te bieden. De overgenomen computers worden op grote schaal ingezet in zombienetwerken. Ook stelen internetcriminelen persoonlijke informatie en maken ze gebruikers geld afhandig. Internationaal is de fraude met internetbankieren toegenomen.

2) De fundamenten van het internet zijn zwak
Bij het ontwerp van het internet is te weinig aandacht geschonken aan "de integriteit van de informatie" die nodig is om het netwerk goed te beheren, stelt Govcert.nl. Doordat het gebruik van internet elk jaar intensiever wordt en we er steeds afhankelijker van worden, worden deze beperkingen in de fundamenten alsmaar nijpender.

In het afgelopen jaar zijn nieuwe zwakheden ontdekt in de fundamenten van het internet, bijvoorbeeld in enkele communicatieprotocollen en cryptografische standaarden. Govcert.nl noemt de kwetsbaarheden in de protocollen TCP, DNS en BGP als voorbeeld. Ook wijst het op de door Dan Kaminsky ontdekte aanvalstechniek op DNS.

Criminelen kunnen dergelijke lekken misbruiken om gebruikers ongemerkt naar besmette websites te leiden of om websites onbereikbaar te maken. Er moet nu actie worden ondernomen om de fundamenten te verbeteren voor de toekomst, benadrukt Govcert.nl.

3) De veroudering van cryptografie wordt onderschat
Goede encryptie is enorm belangrijk voor de integriteit en vertrouwelijkheid van informatie. Er wordt te weinig rekening mee gehouden dat versleuteling snel veroudert, stelt de organisatie.

Een afschrikwekkend voorbeeld is de zwakheid van de hashfunctie MD5 voor cryptografie. Een ander incident met een fundamentele cryptografische toepassing op internet betrof OpenSSL. In mei 2008 bleek dat dit geen willekeurige getallen meer kon genereren. Sleutels gemaakt met OpenSSL waren daardoor zeer zwak en feitelijk waardeloos.

Cryptografische oplossingen moeten op regelmatige basis worden herzien, vindt Govcert.nl.