Cryptografische storingen: praktijkvoorbeelden

Men zegt dat wie de data beheerst, de wereld beheerst. Men zegt ook dat kennis macht is. Hoe u het ook wilt formuleren, één ding is zeker: informatie is tegenwoordig de meest gewilde handelswaar.

Heeft u zich ooit afgevraagd waarom de meeste diensten tegenwoordig, met name online, technisch gezien gratis zijn? Dat komt omdat wij niet de klanten zijn – wij zijn het product.

We vertrouwen sociale mediaplatforms, online winkels en talloze andere websites een overvloed aan persoonlijke informatie toe, en zij zijn nooit tevreden. En ondanks dat gevoelige informatie, welnu, gevoelig is, gaan ze er zelden zo zorgvuldig mee om als ze zouden moeten. Hier komen cryptografische storingen om de hoek kijken.

Ook bekend als het blootstellen van gevoelige gegevens, is een cryptografische storing een van de grootste beveiligingsrisico’s waarmee bedrijven, groot en klein, vandaag de dag worden geconfronteerd. Maar voordat we ontdekken hoe dat kan gebeuren, laten we eerst eens kijken wat een cryptografische storing nu eigenlijk is, nietwaar?

Cryptografische storingen: betekenis en voorbeelden

Zonder u te overladen met hightech terminologie, is een cryptografische storing een beveiligingsfout die optreedt wanneer een derde partij (apps, webpagina’s, verschillende websites) gevoelige gegevens blootlegt. Om precies te zijn, het is wanneer die entiteit dit doet zonder specifieke intentie. Of het nu nalatigheid, incompetentie of een inschattingsfout is, een cryptografische storing kan catastrofale gevolgen hebben, zowel persoonlijk als zakelijk.

Soms is het onvoldoende bescherming van databases. Andere keren komt het door verkeerde configuraties bij het opzetten van nieuwe datastores. Soms vindt blootstelling van gevoelige gegevens plaats door ongepast gebruik van datasystemen.

Softwarefouten. Zwakke encryptie. Helemaal geen encryptie. Een onbedoelde upload naar de verkeerde database. Er zijn vele manieren waarop bedrijven zichzelf kunnen blootstellen en gevoelige informatie kunnen lekken.

Maar laten we even teruggaan. Wat is er eigenlijk aan de hand met dit soort storingen? En hoe kunt u ze voorkomen? Laten we verder gaan.

Wat is een cryptografische storing?

Oorspronkelijk blootstelling van gevoelige gegevens genoemd, treedt een cryptografische storing op wanneer een systeem gevoelige gegevens toegankelijk maakt voor potentieel kwaadwillende snuffelaars. Het treedt ook op wanneer er een beveiligingsincident is dat onbedoelde/onwettige verwijdering, vernietiging, wijziging of ongeoorloofde openbaarmaking van gevoelige informatie mogelijk maakt.

Over het algemeen vallen cryptografische storingen in drie categorieën:

Schending van de vertrouwelijkheid. Dit gebeurt wanneer een derde partij toegang krijgt tot vertrouwelijke gegevens of wanneer een organisatie dergelijke gegevens per ongeluk openbaar maakt.
Schending van de integriteit. Dit beschrijft een situatie waarin gevoelige gegevens worden gewijzigd, opnieuw zonder autorisatie en/of opzet.
Schending van de beschikbaarheid. Wat in deze categorie valt, zijn scenario’s waarin gevoelige gegevens worden vernietigd of wanneer u er geen toegang meer toe heeft. De categorie omvat zowel permanent als tijdelijk gegevensverlies.

Op dit punt vraagt u zich misschien af: “Maar zijn gevoelige gegevens hetzelfde als persoonlijke gegevens? Of is er enig verschil tussen beide?”. Een redelijke vraag, en ook degene die we meteen zullen bespreken.

Persoonlijke gegevens versus gevoelige gegevens

Kortom, persoonlijke gegevens omvatten alle informatie die betrekking heeft op geïdentificeerde/identificeerbare natuurlijke (lees: bewuste) personen. Niet-persoonlijke gegevens daarentegen bevatten stukjes en beetjes informatie die geen verband houden met identificeerbare personen of die niet uniek zijn voor één enkele persoon.

Gevoelige gegevens omvatten intussen alle informatie die individuen kan onthullen of zou kunnen onthullen:

Gezondheids-, biometrische en anderszins genetisch materiaal
Seksuele geaardheid, seksleven of iets in die trant
Raciale, etnische en/of nationale oorsprong
Politieke opvattingen
Band met religieuze, politieke en/of filosofische organisaties
Religieuze en/of politieke overtuigingen
Lidmaatschappen van vakbonden
En meer.

“Dus, een cryptografische storing is gewoon een andere term voor een datalek?”, vraagt u zich misschien af. Ook een redelijke vraag. Maar het antwoord is nee, niet helemaal. Hoewel de twee enkele overeenkomsten delen, is er ook een duidelijk verschil tussen hen.

Cryptografische storing versus datalek

Recht op het punt, een datalek beschrijft een beveiligingsincident waarbij indringers zonder autorisatie toegang krijgen tot vertrouwelijke informatie.

In dit geval streven de aanvallers ernaar om persoonlijk identificeerbare informatie of andere gegevens te vinden die financieel voordeel kunnen opleveren, identiteiten kunnen compromitteren of op het dark web kunnen worden verkocht. Met andere woorden, ze zoeken naar gegevens die als waardevol kunnen worden geclassificeerd. De doelstelling(en) kunnen zijn om die gegevens volledig te stelen, te wijzigen of te vernietigen.

Een cryptografische storing daarentegen is wat er gebeurt wanneer u gegevens vrij (op een server of in een database) laat staan zodat iedereen ze kan zien. Meestal komen cryptografische storingen voor wanneer u configuratiedetails onbeveiligd online laat staan. Maar dat is niet alles.

Wat leidt tot cryptografische storingen

Cryptografische storingen vinden plaats omdat organisaties bepaalde informatie niet behandelen zoals ze zouden moeten. Soms kunt u gevoelige gegevens vinden in platte tekst documenten die onbeheerd achterblijven.

Natuurlijk, wanneer sites geen HTTPS-beveiliging inschakelen en de verbinding niet beveiligen via SSL, zullen de webpagina’s en apps die gevoelige informatie opslaan altijd kwetsbaar zijn.

Bovendien, wanneer u gevoelige gegevens opslaat in een onveilige database, kunt u deze ook gemakkelijk blootleggen aan indringers. Om dit toe te lichten, is een onveilige database elke database die ten prooi kan vallen aan aanvallen zoals SQL-injecties, een zwak cryptografisch algoritme/sleutel gebruikt, geen gehashte en gesalteerde wachtwoordpraktijken implementeert en/of gegevens op vele andere onveilige manieren opslaat.

Zoals u weet, zijn SQL-injectieaanvallen code-injectietechnieken waarmee hackers de queries kunnen beïnvloeden die apps maken naar hun respectievelijke databases. U kunt deze techniek gebruiken om gegevens uit de geïnfecteerde database via de backend te ‘kapen’.

Op dezelfde manier, wanneer u gehashte wachtwoorden opslaat zonder salt (lees: wanneer ze niet onder volledige cryptografische bescherming staan, waardoor ze gemakkelijk te ontsleutelen zijn), kunnen wachtwoorden ook worden blootgesteld. Gehashte en gesalteerde wachtwoorden worden daarentegen tijdens opslag omgezet in woordpuzzels, puzzels die alleen de server waarop ze zijn opgeslagen weet te interpreteren. Maar wanneer organisaties een tweederangs hashing gebruiken, kunnen hackers deze wachtwoorden gemakkelijk lezen tijdens een cryptografische storing.

Laten we op dat punt eens kijken naar enkele voorbeelden van cryptografische storingen.

Voorbeelden van cryptografische storingen

Cryptografische storingen hebben talloze websites en apps ten onder doen gaan. De slachtoffers zijn te talrijk om te tellen, maar dit zijn de meest prominente onder hen:

Het Exactis-debacle

Minder dan 4 jaar geleden heeft een zeer klein (<10 werknemers) marketing- en data-aggregatiebedrijf genaamd Exactis per ongeluk zijn database blootgelegd die ongeveer 340 miljoen individuele records bevatte. Of het nu ervaring, nalatigheid of onwetendheid was, de verantwoordelijken hadden de database op een publiek toegankelijke server geplaatst. Dat betekent dat iedereen (iedereen die wist waar te zoeken) toegang had tot deze gegevens.

De blootgestelde records bevatten namen, telefoonnummers, e-mails en andere gevoelige gegevens van miljoenen Amerikaanse burgers. En omdat deze informatie bedoeld was voor zeer gerichte marketingdoeleinden, was deze veel gedetailleerder en persoonlijker dan wat mensen gewoonlijk blootleggen bij een alledaags datalek.

Het Facebook-incident

Ja, het is het Facebook waar we het hier over hebben. In het zoete, pre-COVID 2019, werd bekend dat meer dan 540 miljoen records met betrekking tot Facebook-gebruikers per ongeluk waren gelekt door twee externe Facebook-app-ontwikkelaars.

Deze apps, zonder enige kwaadwillige intentie, plaatsten de records in het openbaar op Amazons cloud-service. De blootgestelde records bevatten accountnamen, ID’s, vrienden, foto’s, locatie-check-ins en wachtwoorden van Facebook-gebruikers.

Helaas was dat niet de eerste of de laatste keer dat Facebook gevoelige informatie blootlegde. Een maand eerder ontdekte Facebook dat de wachtwoorden van ongeveer 600 miljoen gebruikers maandenlang intern in platte tekst waren opgeslagen. Een paar maanden daarvoor onthulde hetzelfde boek der gezichten dat gegevens van miljoenen gebruikers waren geoogst door data science bedrijf Cambridge Analytica.

Hoe een cryptografische storing te voorkomen

Catalogiseer gegevens. Om de gegevens van klanten te beschermen, moeten organisaties, nee, moeten ze ervoor zorgen dat ze alle gegevens die ze binnen het systeem/de systemen opslaan nauwlettend in de gaten houden. Bovendien moeten ze regelmatig audits uitvoeren. Op deze manier kunnen ze altijd de eigenaren, locaties, beveiligings- en beheermaatregelen bijhouden die op de opgeslagen gegevens van toepassing zijn.

Beoordeel risico’s. Om ervoor te zorgen dat ze gegevens kunnen beschermen, moeten organisaties weten welke risico’s de opgeslagen gegevens kunnen lopen en hun budgetten en middelen toewijzen om deze risico’s dienovereenkomstig te mitigeren. Hoe waardevoller de gegevens, hoe groter de kans dat ze schade kunnen oplopen. Zelfs de kleinste hoeveelheden gevoelige gegevens kunnen enorme gevolgen hebben voor de betrokkenen.

Zorg voor adequate beveiliging. Om ervoor te zorgen dat ze een cryptografische storing kunnen voorkomen en de impact van cryptografische storingen op de betrokkenen kunnen beperken, moeten organisaties voldoende beveiligingsmaatregelen installeren.

Ondernemen onmiddellijk actie. Om een onmiddellijke reactie op een cryptografische storing te garanderen, moeten organisaties effectieve mechanismen voor incidentrespons implementeren.

Hoewel grote organisaties waarschijnlijk slachtoffer worden van het blootleggen van gevoelige gegevens, kunnen individuen er ook kwetsbaar voor zijn. Het goede nieuws is dat er meerdere beveiligingsmaatregelen zijn die u kunt nemen om dit te voorkomen:

Zorg ervoor dat elk online account dat u beheert een uniek en voldoende complex wachtwoord bevat. Het kan natuurlijk moeilijk zijn om een ogenschijnlijk eindeloze stroom van deze wachtwoorden bij te houden, dus we raden aan een accountmanager te gebruiken.
Houd uw financiële accounts (inclusief budget- en bankapps) nauwlettend in de gaten. Controleer deze accounts zo vaak mogelijk om ongebruikelijke/onbekende activiteiten zo snel mogelijk op te sporen. Sommige bedrijven bieden activiteitswaarschuwingen (meestal via sms en/of e-mail). U kunt ze met een gerust hart gebruiken.
Houd uw kredietrapport eveneens nauwlettend in de gaten. Nogmaals, zolang u dit regelmatig doet, kunt u ontdekken of iemand anders een nieuwe creditcard/betaalpas(sen) of een andere rekening op uw naam probeert te openen. In feite heeft u recht op één gratis kredietrapport per jaar van elke grote kredietinformatiebureau. Meer informatie vindt u op annualcreditreport.com.
Ondernemen onmiddellijk actie. Net als grote organisaties kunnen gewone mensen ook profiteren van het onmiddellijk ondernemen van actie in geval van het blootleggen van gevoelige gegevens. Wanneer u verdachte activiteit opmerkt, neemt u onmiddellijk contact op met de betrokken partij (meestal een financiële instelling). Hetzelfde geldt voor situaties waarin iemand uw informatie steelt bij een datalek.
Gebruik alleen beveiligde URL’s. U loopt een veel kleiner risico om gevoelige gegevens bloot te leggen wanneer u bekende websites bezoekt die u kunt vertrouwen. Over het algemeen beginnen deze sites met https://, waarbij de “s” het sleutelcijfer is. Dit is tweemaal zo belangrijk wanneer u financiële informatie invoert (creditcardnummer, validatiecode, enz.).
Gebruik software met een hoog beveiligingsniveau. Uitgerust met een robuuste softwarepakket dat malware en virussen dekt, zou u de meeste bedreigingen, waaronder het blootleggen van gegevens, moeten kunnen weerstaan.
Onderzoek diensten voor identiteitsdiefstal en kredietbewaking. De rommel die gestolen identiteiten kunnen veroorzaken, kan maanden duren om op te lossen. Met dat in gedachten raden we aan om diensten voor bescherming tegen identiteitsdiefstal en kredietbewaking te onderzoeken. Door deze te gebruiken, bent u minder kwetsbaar voor datalekken en cryptografische storingen.

Alles bij elkaar genomen

Cryptografische storingen staan op nummer 2 in OWASP’s top 10 web application security risks, dus ze zijn geen grap. Grote en kleine bedrijven zijn slachtoffer geworden van het blootleggen van gevoelige gegevens. En het feit dat de boosdoener achter deze storingen de eigen nalatigheid van de bedrijven is, maakt het er niet minder pijnlijk op. Dat gezegd hebbende, ervan uitgaande dat u leert van de fouten van anderen en voorzichtig bent, is er een behoorlijke kans dat u deze valkuil kunt vermijden.