Twitter en de keerzijde van cloud computing
Bij gebrek aan nieuws hebben de IT-websites en -blogs zich deze zomer beziggehouden met het schrijven van artikels waar zo vaak mogelijk het woord ‘Twitter’ in voorkomt. Liefst in de titel, dat scoort extra hoog op Google. Ik ben uiteindelijk gestopt met die dingen nog te lezen.
Om die reden had ik dat éne artikel in juli bijna gemist. Het ging over een veiligheidsprobleem dat helemaal niets te maken had met de Twitter-berichtendienst. Waar het om draaide: een hacker was erin geslaagd om massa’s interne documenten van Twitter in handen te krijgen, en had die op het net gepost. Niet omdat de interne IT-beveiliging van Twitter gefaald had. Nee, maar bij Twitter was het ingeburgerd om veel documenten – ook heel belangrijke – op Google Docs te bewaren.
Google Docs is beveiligd via wachtwoorden. Op zich is dat niet onveilig, als wachtwoorden met de juiste discipline worden gekozen. Maar er zijn twee problemen. Ten eerste openen veel mensen Google-accounts (ook) voor niet-professionele doeleinden en ze kiezen daarvoor een minder veilig wachtwoord dat ze niet zo vaak (of nooit) vervangen. En ten tweede bieden Google en andere webdiensten gemakkelijke methodes om een verloren wachtwoord terug te vinden. Logisch, want gratis diensten willen geen supportkosten dragen. Soms kan het wachtwoord weer achterhaald worden door het antwoord te geven op een standaardvraag (de familienaam van je moeder, bijvoorbeeld), in andere gevallen door het wachtwoord via e-mail te laten verzenden naar een – mogelijk gecompromitteerd – e-mailadres.
Wat had de hacker gedaan? Hij had de achtergrond van een aantal Twitter-werknemers onderzocht. (Via Google, wellicht). Dat gaf hem een aantal waarschijnlijke antwoorden op persoonlijke vragen. Zo geraakte hij in de Yahoo-mailbox van één medewerker, waar hij de nodige informatie vond om ook op diens Google-account te geraken.
Dat is toch wel iets om even bij stil te staan. Weet u hoeveel documenten van uw bedrijf op Google Docs staan? (Als u zegt: "geen enkel", bent u bijzonder naïef). Weet u hoeveel mensen toegang hebben tot die documenten? En hoe veilig hun wachtwoorden zijn? Natuurlijk niet.
Wat u ook niet weet, is hoe ver die cascades van onveiligheid kunnen reiken. Veel mensen gebruiken namelijk hetzelfde wachtwoord op verschillende systemen. Als ik uw gebruikersnaam en wachtwoord op Hotmail achterhaal, kan ik dezelfde logingegevens ook proberen op eBay, Paypal enzovoort.
U hebt de afgelopen maanden – tot in den treure misschien – mogen lezen over de immense voordelen van cloud computing. Nadelen zijn er dus ook. Vooral wanneer diensten die gericht zijn op consumenten – en die door uw personeelsleden in hun vrije tijd worden gebruikt – ook worden ingezet voor professionele doeleinden. Omdat die diensten zo handig zijn, en bovendien gratis. En omdat je er geen bonnetje voor moet invullen bij de aankoopdienst.
Geen wonder dat sommige bedrijven nu gaan nadenken over een "private cloud". Dezelfde flexibiliteit als de ‘echte’ wolk, maar veilig onder eigen controle. In theorie klinkt dat goed. Of het ook echt realiseerbaar is, da’s wat anders. De architectuur van cloud computing is afgestemd op vrijwel onbeperkte schaalbaarheid. Of andere dan alleen maar de allergrootste bedrijven daar iets aan hebben, dat moet nog blijken.
