Nieuws
image

"Overheid moet beveiliging PC's reguleren"

vrijdag 3 juli 2009, 10:23 door Redactie, 29 reacties

Consumenten nemen computerbeveiliging niet serieus, daarom moet de overheid regels opstellen waar een veilige computer aan moet voldoen, zegt Jack Goldsmith, rechtenprofessor aan de Harvard Law School. Hij verwijst naar de campagne die Obama is gestart om het publiek over de gevaren van internet voor te lichten. Om de voorlichting aan te laten slaan, zou de Amerikaanse regering minimale eisen voor computers moeten opstellen. Computers die niet aan de standaard voldoen, moeten door internetproviders worden afgesloten, wat ook moet gebeuren als ze spam versturen of poortscans uitvoeren.

Verder moeten Microsoft en andere ontwikkelaars van besturingssystemen belastingvoordelen krijgen om de veiligheid van hun software te verbeteren. Goldsmith wil een verplichte meldingsplicht voor alle gevallen van datadiefstal en digitale aanvallen. Hierbij kan dit direct aan het publiek of de overheid worden gemeld, maar ook een "vertrouwde derde partij" is een optie. Op deze manier kunnen bedrijven informatie over aanvallen en verdediging uitwisselen. Het publiek kan daarnaast zien van welke bedrijven de systemen veilig zijn.

Monitoring
Obama kondigde onlangs het Pentagon cybercommand aan, dat alle militaire netwerken in de gaten moet houden. Sommige functionarissen wilden Cybercom gebruiken om ook private netwerken in het geval van aanvallen te monitoren. De Amerikaanse president liet vervolgens weten dat dit niet zal gebeuren, maar dat is volgens Goldsmith geen goede beslissing. Hij wil dat de overheid meer mogelijkheden krijgt om private netwerken te controleren om zo aanvallen in de kiem te smoren.

De professor erkent dat zijn voorstel op weerstand stuit, maar denkt dat met voldoende controle misbruik wordt tegengegaan. De privacy van iedereen heeft namelijk veel meer te lijden door cyberaanvallen, dan door een overheid die in het geval van een computeraanval optreedt, besluit Goldsmith zijn pleidooi.

Reacties (29)
03-07-2009, 10:43 door KwukDuck
Fijn eerste bericht van de dag, heb al gelijk hoofdpijn, en dat is niet van de warmte!
Dit gaat al lang niet meer om veiligheid.
Nederland zal hier wel weer als eerste brave slaaf van de US achter aan huppelen.
03-07-2009, 10:43 door Anoniem
's/reguleren/stimuleren/g'

maar nee, in NL gaan we het gelijk verbieden, want dan is het er tenslotte niet meer. briljant!
03-07-2009, 10:47 door Anoniem
Ik snap niet waarom ze de consument lastig willen vallen. Wat gaan ze doen, bepaalde virusscanners vereist stellen voor gebruikers? Waarom komt ineens Green Dam bij mij op?
03-07-2009, 11:03 door cjkos
De overheid moet eens stoppen met denken wat het beste is voor de burgers. Ze maken er in Nederland nu al een potje van, en dan gaan ze ons vertellen hoe het moet. er is ook een lichtpuntje met het huidige kabinet, voordat ze uitgevonden hebben wat we precies nodig hebben zullen ze eerst op een aantal cursussen moeten. Dan zijn we al weer vele jaren verder, en hebben ze misschien wel een serieuze kijk op de dingen.

En dan komt ook nog de grootste vraag, wie gaat dit controleren?
03-07-2009, 11:21 door Anoniem
Door KwukDuck: Fijn eerste bericht van de dag, heb al gelijk hoofdpijn, en dat is niet van de warmte!
Dit gaat al lang niet meer om veiligheid.
Nederland zal hier wel weer als eerste brave slaaf van de US achter aan huppelen.

Wie stelt dat de US dit gaat doen? Dit is een standpunt van een professor welke aandacht zoekt voor een binnenkort te publiceren boek.

Indien de Amerikaanse overheid dit idee over zou nemen, onwaarschijnlijk maar niet uit te sluiten, kleven hier teveel bezwaren aan. Niet alleen juridisch, maar ook technisch en praktisch zal dit stranden in een hoop administratie en discussie waardoor dit niet van de grond zal komen. Kortom, een storm in een glas water,
03-07-2009, 11:26 door djondjeems
Zolang het logge apparaat genaamd overheid het nog presteert onbeveiligde gegevens op media zoals usb-sticks te verliezen, heb ik persoonlijk weinig belang bij door de overheid gecontroleerde private systemen.
Voorlichting daarentegen lijkt mij een goed idee, temeer omdat heel veel mensen geen weet hebben van beveiliging en computers zien als een speeltje of als veredelde tekstverwerker.
Mijn advies: hou de georganiseerde computercriminaliteit in de gaten en laat de gewone gebruiker lekker internetten. Maak een Postbus51 spotje of maak een mooie flyer met wat goede adviezen en een paar links naar prima gratis software en druk dit voor mijn part bij de jaarlijkse blauwe envelop in. Is gezien de kredietcrisis nog mooi verantwoord ook.
03-07-2009, 11:33 door [Account Verwijderd]
[Verwijderd]
03-07-2009, 11:44 door Anoniem
Allemaal mooi praatjes van de overheid en Jack Goldsmith met zijn extreme idee over computer beveiliging! Ik neem meneer niet serieus hij leeft in een fantasie wereld! Microsoft is druk bezig om het onmogelijk temaken om een machine teinfecteren als botnet machine. Maar de oude beestjes zoals Windows 2000, Windows XP SP1 en SP2 zijn nog altijd erg gevoelig voor botnet.

Ze zoude beter beveiliging moet inbouw in de ADSL Router modem met firewall die op afstand besturen is.
Ik denk dat ze alleen oude routers moet vervangen voor niew expemplaar.
03-07-2009, 11:55 door carolined
En dan komt ook nog de grootste vraag, wie gaat dit controleren?
Juist ! En wie gaat dan de controleurs controleren ? De burgers, stel ik voor.
03-07-2009, 12:01 door KwukDuck
Storm in een glas water? Dit is gewoon een stukje uitbreiding op ECHELON, absoluut niet onrealistisch denk ik.
03-07-2009, 13:00 door Anoniem
Verder moeten Microsoft en andere ontwikkelaars van besturingssystemen belastingvoordelen krijgen om de veiligheid van hun software te verbeteren.
Enkele zaken op (oudere) besturingssystemen van Microsoft die het malware wel heel makkelijk maken: Autorun staat standaard aan, men werkt(e) standaard als Administrator zonder wachtwoord, het BS en applicaties voer(d)en allerlei code uit zonder bevestiging, allerlei onnodige services staan aan, services die met onnodige rechten draaien, slechte beveiligingsmodellen (ActiveX, RPC), integratie van een lekke webbrowser waardoor die onderwater overal voor gebruikt wordt ...
Dat dit soort instellingen onveilig zijn is al dertig jaar bekend.
De enige reden voor deze instellingen is dat het systeem uit-de-doos alles doet en dus voor de (domme) gebruiker makkelijk is. En de enige reden dat bedrijven belang hechten aan gebruiksgemak is ... marktaandeel.

Een commercieel bedrijf dat bewust voor deze onveilige instellingen gekozen heeft (Autoruine staat pas in Windows 7 standaard uit), zou nu volgens rechtenprofessor Jack Goldsmith belastingvoordeel moeten krijgen om de beveiliging te verbeteren. Belastinggeld dat door de gebruikers opgehoest wordt.

Met dit soort uitspraken maakt deze rechtenprofessor duidelijk dat hij niet alleen computer-technisch maar ook maatschappelijk een volkomen onbenul is. Het is te hopen dat regeringen dit soort figuren niet al te serieus zullen nemen.
03-07-2009, 13:28 door Anoniem
In principe gebeurt dit nu ook al wanneer je een abuse mail zend aan een provider met een grep van je logs over het voorval.
De provider waarschuwt dan de klant en indien niet binnen 2 dagen is gereageerd gaat die klant zijn internetverbinding op zwart.

Enige verschil is dat velen nooit een abuse mail zullen sturen, omdat ze zelf gewoon simpele gebruikers zijn en er weinig tot niets van snappen verder.

Dit initiatief klinkt niet onaardig, maar meestal als de overheid zoiets doet tegenwoordig, zit er al snel een heel naar bijsmaakje aan in de vorm van 'wij weten wat goed voor je is' of staat de privacy weer op de helling.

Daarbij ook nog wie dit gaat controleren en hoe, want als dat niet wordt gedaan hoeven ze niets te doen want in de huidige situatie zou het dan ook al werken.
03-07-2009, 13:40 door spatieman
als de overheid dergelijke dingen gaat regelen.
kan je ervanuit gaat dat er standaard ook overheid spyware op komt.

Daarbij, dat de overheid, eerst eens intern alle zaken orde gaat maken voor zij dom gezwafel gaan uitvoeren bij de burgers om daar weer GELD mee te verdienen.
03-07-2009, 14:31 door Anoniem
Door Anoniem: Ze zoude beter beveiliging moet inbouw in de ADSL Router modem met firewall die op afstand besturen is. Ik denk dat ze alleen oude routers moet vervangen voor niew expemplaar.
Doe maar niet, straks komt er een hacker die die firewall kan manipuleren en alle poorten open zet, bijv. 139
Nu zijn er veel verschillende routers en dat lijkt me wel zo veilig.
03-07-2009, 14:49 door Anoniem
Die Goldsmith zal zijn papiertje wel met airmailes gehaald hebben; wat een onzin!

Begin bij de bron: kom met veilige software.
03-07-2009, 22:35 door Anoniem
hoe krijg ik mijn security updates dan???
04-07-2009, 01:12 door Rene V
Ja joh, laten we de overheid nog meer controle geven over wat we doen en laten.
Echt erg gesteld met deze wereld!
04-07-2009, 15:20 door Arnoud Engelfriet
Even een knuppel in 't hoenderhok: waarom niet? De overheid stelt ook minimumeisen aan auto's en andere apparatuur voor consumenten, inclusief beveiligingseisen. Probeer eens een stuk speelgoed te maken en kijk welke veiligheidseisen je dan over je heen krijgt. Zolang ze techniekneutraal zijn geformuleerd, waarom zou de overheid dan geen eisen aan computers met internet mogen stellen?
05-07-2009, 11:28 door Anoniem
Door Anoniem: 's/reguleren/stimuleren/g'

maar nee, in NL gaan we het gelijk verbieden, want dan is het er tenslotte niet meer. briljant!


Er staat in het gehele bericht niets over NL, de Nederlanse overheid etc.. dus dit is wel een erg kortzichtige reactie.
05-07-2009, 14:04 door quikfit
Door Arnoud Engelfriet: Even een knuppel in 't hoenderhok: waarom niet? De overheid stelt ook minimumeisen aan auto's en andere apparatuur voor consumenten, inclusief beveiligingseisen. Probeer eens een stuk speelgoed te maken en kijk welke veiligheidseisen je dan over je heen krijgt. Zolang ze techniekneutraal zijn geformuleerd, waarom zou de overheid dan geen eisen aan computers met internet mogen stellen?


Bedankt voor de knuppel ;-)

Het bovenstaande heeft volgens mij niet zoveel met privacy te maken maar het beveiligen van PC'S des te meer.
Waar ligt de grens van de overheid om PC'S te controleren op beveiliging,verder heb ik persoonlijk niet zoveel vertrouwen in de overheid,wat valt er volgens de overheid precies onder veiligheid en privacy?

P.S. Arnoud ik loop al een tijdje met een juridische vraag rond,waar kan die heen?
05-07-2009, 14:15 door Arnoud Engelfriet
Ik zou zeggen: de overheid heeft als taak te zorgen voor een veilige samenleving, dus op het moment dat jouw PC een bedreiging vormt voor de veiligheid van anderen dan mag de overheid daar (minimum-) eisen aan stellen. Net zoals ze dat nu met auto's, koelkasten, voedsel, vuurwerk en vele andere zaken mogen doen.

PS juridischevraag apestaartje security.nl of arnoud apestaartje engelfriet.net
05-07-2009, 17:19 door cjkos
Door Arnoud Engelfriet: Ik zou zeggen: de overheid heeft als taak te zorgen voor een veilige samenleving, dus op het moment dat jouw PC een bedreiging vormt voor de veiligheid van anderen dan mag de overheid daar (minimum-) eisen aan stellen. Net zoals ze dat nu met auto's, koelkasten, voedsel, vuurwerk en vele andere zaken mogen doen.

PS juridischevraag apestaartje security.nl of arnoud apestaartje engelfriet.net

De minimum eisen zitten er al op. Zo zit er een keurmerk op alle onderdelen.
De veiligheid van jouw PC heeft niets met de fysieke veiligheid van anderen te maken. Bij een auto kan het de overheid niet zoveel schelen dat jij zelf slecht uit een ongeluk komt, het gaat om de schade die jij bij anderen kunt aanrichten. Niet voor niets is de WA verzekering gericht op schade aan anderen. Eigen geleden schade is niet wettelijk verplicht verzekerd, het wordt wel aangeraden. Door de schade die je met de auto kan aanrichten bij een ander is ook de reden voor het Rijbewijs.

Voedsel is van een totaal andere catagorie, niet te vergelijken met alle andere dingen die je schrijft, en is direct van invloed op de gezondheid van veel mensen. Koelkasten hebben te maken met het milieu, de rest heeft weer te maken met schade die je bij anderen aan kunt richten.

Als je zelf je PC veilig hebt ingesteld is de beveiliging van de ander geen enkel probleem, het is daarom volgens mij belachelijk dat de overheid zich hier mee zou moeten bemoeien.

De volgende stap is dat de overheid gaat bepalen wat ik wel en niet op mijn PC heb staan. Dat een gratis virusscanner/firewall niet op hun lijstje voorkomt en dus niet voldoet aan de eisen. Dat zou dan meteen een extra veiligheidsrisico oproepen, omdat virusschrijvers meteen weten wat jij op je computer hebt staan.

De belangrijkste reden om dit echter niet te doen is dat het niet valt te controleren. Dit zou onnodig veel belastinggeld gaan kosten zonder resultaat. 10 minuten na de controlere kan de software bijvoorbeeld al weer aangepast zijn. Een ambtenaar heeft ook geen recht om mijn huis binnen te treden op basis van een fout geconfigureerde computer.

Beter is de virus/malware schrijver aan te pakken in plaats van de gevolgen aan te pakken.
05-07-2009, 20:33 door Arnoud Engelfriet
"Bij een auto kan het de overheid niet zoveel schelen dat jij zelf slecht uit een ongeluk komt, het gaat om de schade die jij bij anderen kunt aanrichten." Dat is bij PC's toch ook zo? Bijvoorbeeld het soort schade dat botnets aanrichten. Het lijkt me dus zeker terecht om minimumeisen aan beveiliging tegen zombificatie van PC's te stellen. Misschien dat je die beter bij Microsoft kunt leggen, want zij zijn een handiger aanspreekpunt, maar wat is er mis met de eis "gij zult een strak afgestelde firewall hebben"?

Natuurlijk gaat niemand dat controleren, dat is ook helemaal niet de bedoeling. Niemand controleert of jij een rijbewijs hebt (ok, enkele toevallige controles daargelaten). Maar als blijkt dat jij er geen hebt EN er is iets gebeurd vanaf jouw PC, dan heb je een probleem. Plus op basis van zo'n beveiligingsplicht kun je weer afgeleide plichten construeren, zoals dat een provider je niet online mag laten als jij langer dan 24 uur een zombie-pc hebt bijvoorbeeld. Net zoals autoverhuurders je geen auto mogen verhuren als jij geen rijbewijs kunt laten zien.
05-07-2009, 22:45 door cjkos
Door Arnoud Engelfriet: "Bij een auto kan het de overheid niet zoveel schelen dat jij zelf slecht uit een ongeluk komt, het gaat om de schade die jij bij anderen kunt aanrichten." Dat is bij PC's toch ook zo? Bijvoorbeeld het soort schade dat botnets aanrichten.

Lijkt een beetje op de omgekeerde wereld, we kunnen de oplichters niet aanpakken, laten we dan maar de slachtoffers aanpakken.

Het probleem met een Zombie PC is dat je dat niet weet. Op het moment dat dat kenbaar gemaakt wordt door de ISP is het probleem opgelost door de bot trojan te zoeken en te verwijderen door de klant. Lijkt mij een probleem tussen de ISP en de klant, niet de overheid en de klant. En wie zegt dat de zombie inderdaad weg is als hij niet actief is op dat moment en de klant heeft wel een beveiligingssoftware geïnstalleerd?

Bij de nieuwe generatie flitsers wordt er ook gekeken naar openstaande boetes, ben je verzekerd, is je rijbewijs niet verlopen, is de auto apk gekeurd heb je een belastingschuld. Zelfs als je niet te hard rijdt. Allemaal met één handeling. Een wet betekend voor het OM meestal Kassa! Ik verwacht dan ook dat bij een wet van deze strekking de ISP's nog meer verantwoordelijkheid krijgen en actief moeten monitoren. Ook al zit het grootste deel van een botnet in het buiternland. En dat is volgens mij wel controle.
06-07-2009, 06:23 door [Account Verwijderd]
[Verwijderd]
06-07-2009, 08:39 door Arnoud Engelfriet
Door cjkos: Lijkt een beetje op de omgekeerde wereld, we kunnen de oplichters niet aanpakken, laten we dan maar de slachtoffers aanpakken.
Niet de slachtoffers, diegenen die het wel heel makkelijk maken voor oplichters om mensen op te lichten. Net zoals banken plichten opgelegd krijgen om fraude tegen te gaan, garagebedrijven niet meer zomaar nummerborden mogen uitgeven, noem maar op.

En nogmaals het gaat er niet om dat je straf krijgt als er een zombie op je PC staat, maar dat je verplicht bent een goeie firewall te draaien. Heb je die en zombificieert je PC toch, dan is dat overmacht en jou dus niet toe te rekenen. Je moet een gordel om, krijg je dan toch een ongeluk met persoonlijk letsel dan betalen we dat.
06-07-2009, 09:04 door carolined
Door Arnoud Engelfriet:

En nogmaals het gaat er niet om dat je straf krijgt als er een zombie op je PC staat, maar dat je verplicht bent een goeie firewall te draaien. Heb je die en zombificieert je PC toch, dan is dat overmacht en jou dus niet toe te rekenen. Je moet een gordel om, krijg je dan toch een ongeluk met persoonlijk letsel dan betalen we dat.
Maar Arnoud, dan pleit jij er eigenlijk voor dat de "garage", jou een goed beveiligde auto aflevert om het zomaar te zeggen en dat ook het onderhoud goed verloopt.
De regels daarvoor komen van de overheid, de implementatie van de garagehouders.
Dus Microsoft en je Provider moeten je dus een goed beveiligd produkt leveren. Als zij daar fouten maken, je gordels breken b.v. bij een ongeluk door slechte montage, dan zijn zij toch aansprakelijk?

Aan de andere kant, ben je in de auto vrij om daarheen te rijden waar je zelf wilt. Er is een privacy wet die moet voorkomen dat de overheid je overal volgt. Eensgelijks zou dat op het internet zo moeten zijn en daar loopt de vergelijking wat mank, mijns inziens. Daar lijkt de overheid exact te willen weten waar je rondsurft.
Nou zijn er natuurlijk ook in het "auto"-geval wat restricties, zo hier en daar staan bordjes verboden toegang en zijn er begrenzingen. En je moet natuurlijk ook geen absurde risico's nemen met het autorijden en gaan rijden in gebieden waar het gevaarlijk is. Ook daar is een parallel te vinden met het internet. Als je je in gevaarlijke gebieden bevindt dan kun je besmettingen oplopen. Dan nog moet je in zekere mate beveiligd zijn.
06-07-2009, 09:09 door Arnoud Engelfriet
Het lijkt me inderdaad het beste dat de leveranciers deze plicht op zich krijgen. Zij hebben de benodigde kennis en zijn in een positie om dit snel en goedkoop te doen. Sneller en goedkoper dan de gemiddelde consument in ieder geval. Maar uiteindelijk gaat het toch om die consument; die gaat internet op en loopt daarmee het besmettingsrisico.

Dus uiteindelijk denk ik toch dat je de plicht aan de consument moet opleggen. Die kan dan zijn leverancier erop aanspreken indien nodig. En wie zelf zijn PC bouwt, moet er dus zelf rekening mee houden. Net als wanneer je zelf een schuur gaat bouwen, je rekening moet houden met de APV waarin bijvoorbeeld een maximumomvang staat of een verbod op paars met rode stippen.
06-07-2009, 09:54 door carolined
mm, zit wat in. Als je er geen verstand van hebt moet je niet zelf een auto bouwen.
Je krijgt dan een soort van 20-80 verdeling lijkt me.
20% kan het zelf bouwen en is daarmee ook verantwoordelijk voor zijn eigen beveiliging, maar dat mag voor deze experts geen probleem zijn.
80% zijn de gewone rijders/surfers en steunen daarbij dan ook op de aangeleverde beveiliging.

Tot zover zou dat geen probleem moeten zijn.
Kennelijk is dan dus het probleem dat een deel van de 80% zich bewegen op paden waar ze niet moeten komen ?
En op basis daarvan beslist dan de overheid dat ze maar in moet gaan grijpen? Of liggen er nog andere agenda's aan ten grondslag?

Overigens zegt de professor dat onze privacy het meest te lijden heeft van cyberaanvallen. Is dat werkelijk zo?
Op mij komt het over dat we het meest qua privacy te lijden hebben doordat usb-sticks met complete databases verloren worden, databases met creditcard gegevens op straat liggen en dat vanuit overheidswege allerlei zaken aan elkaar gekoppeld worden zodat zomaar iedereen van alles over je kan zien.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure