2009: het begin van de securitycrisis?

Ik herinner mij nog een debat op InfoSecurity 2007 over de gevaren voor 2008. Mijn voorspellingen van toen zaten er niet ver naast: verhoogde aanvallen op websites, gerichte virusaanvallen op banken waardoor bankrekeningen worden geplunderd en dergelijke meer. Natuurlijk kennen we alleen de gevallen die de pers haalden. Klanten van het Landbouwkrediet, Dexia en ABN Amro zagen geld van hun rekening verdwijnen.

Ook zijn de eerste social networking-virussen opgedoken: het Facebook-virus valt je vrienden aan en probeert je pc met malware te infecteren. Daarnaast worden websites belast met spamberichten en is er het SQL Injection-virus dat databanken van websites volpompt met links naar schadelijke webpagina’s.

En dat is nog maar het topje van de ijsberg. Ik vrees dat 2009 het jaar zal zijn waarin het internet een te onveilig wordt om zomaar onbeschermd te surfen en op links te klikken. En het is niet zo eenvoudig om je daar als eindgebruiker tegen te beschermen. Een verkeerd zoekresultaat in Google aanklikken of online nieuws lezen, kan al een infectie tot gevolg hebben.

Om in 2009 een veiliger internet te krijgen, zijn er bepaalde vereisten die zich op drie niveaus situeren. Enerzijds draagt de eindgebruiker zijn eigen verantwoordelijkheid: elke pc moet voorzien zijn van up-to-date antivirusprogramma’s die webpagina’s controleren op virussen en kwaadaardige links.

Anderzijds is er de bedrijfswereld die ervoor moet zorgen dat hun websites geen lekken vertonen. De OWASP Top 10 is daarvoor een absolute richtlijn, maar de praktijk leert ons dat de meeste sites minstens 3 kritieke problemen bevatten. Bedrijven moeten dan ook investeren in web security-software: sites blokkeren die illegale software verspreiden, webverkeer scannen vooraleer het de gebruiker bereikt en spamberichten uit webpagina’s verwijderen.

Ten derde moet de bankwereld de nodige zorg besteden aan het beveiligen van hun omgeving en vermijden dat virussen transacties kunnen starten. Dat zal natuurlijk ook de nodige investering, training en bewustwording van alle niveaus vereisen, maar het is de enige manier.

Softwarebouwers zoals Microsoft en Google moeten ervoor zorgen dat hun software veilig is en dat kwaadaardig JavaScript en andere ‘rommel’ wordt afblokt. Maar dat vereist veel ontwikkeling en nieuwe features zoals de phishing filter. Ook moeten websitebouwers ervoor zorgen dat hun websites werken met zoveel mogelijk beveiligingsmaatregelen geconfigureerd in de browser.

Afgelopen week heb ik zelf de test gedaan om mijn dagelijks surfverkeer in een protected browser met maximale security-instellingen uit te voeren. De meeste sites werkten totaal niet en moesten één voor één worden toegevoegd aan ‘trusted sites’. Maar dat is niet zo voor gewone gebruikers. Er moet dus een andere oplossing worden gevonden. Ook zijn er zoveel websites dat het concept van blacklisting niet toepasbaar is. Ik ben voorstander van whitelisting, want de meeste mensen bezoeken vaak dezelfde websites.

Ook het verrijken van websites met Web 2.0 of rich internet applications is vanuit security standpunt geen goede zaak. Ik vrees dat hackers in 2009 een securitycrisis zullen veroorzaken. Veel sterkte!