Verschillende websites van de overheid gebruiken geen SSL-certificaat voor het versturen van informatie die burgers invoeren, zo laat een aanbieder van SSL-certificaten weten. Volgens Networking4all zijn de sites daarom onveilig te noemen en bieden die criminelen ruimschoots de gelegenheid zonder problemen (persoons)gegevens van Nederlanders te pakken te krijgen. Van de 684 onderzochte websites gebruikten er 570 geen SSL-certificaat. "In het slechtste geval kan een crimineel de complete identiteit van een persoon overnemen. Met alle vreselijke gevolgen van dien. Gevolgen die veel verder gaan dan alleen creditcardfraude."

"Het is schrijnend dat er een dure campagne wordt gelanceerd waarin met het belerende vingertje ons wordt verteld hoe we veilig moeten internetten, terwijl dezelfde overheid websites heeft waar alles vanaf kan worden geplukt, waaronder ook onze persoonsgegevens", zegt technisch directeur Paul van Brouwershaven.

"Bij organisaties die hun website veilig hebben gemaakt, juist in het belang van de consument, komt deze campagne over als 'de bel horen luiden, maar niet weten waar de klepel hangt' en dan druk ik me erg diplomatiek uit", aldus Van Brouwershaven. "Wat nog verbazingwekkender is, is het gegeven dat de overheid niet haar eigen verantwoordelijkheid neemt om zorg te dragen voor veiligheid op het web. Ze hebben de wettelijke verplichting én mogelijkheden de burger die veiligheid te garanderen. Dit laten ze echter gewoon na. Al jaren!"

Onderschat
Veel mensen die via een bekabeld netwerk surfen denken dat dit probleem ze niet treft, zo laat Van Brouwershaven aan Security.nl weten. "Het is niet alleen een probleem dat draadloze netwerken treft." De informatie van Nederlandse websites wordt via maximaal 3 tot 10 hops verstuurd. Op deze hops kan een aanvaller een tap zetten om de gegevens te onderscheppen. Daarbij gaat het niet alleen om lekke routers en switches, ook frauduleuze werknemers vormen in dit geval een risico, gaat de technisch directeur verder. Een ander voordeel voor potentiële dieven is dat alle data al netjes gecategoriseerd is.

Hij noemt het dan ook een ernstig probleem dat in potentie zeer verstrekkende gevolgen kan hebben. "Het laat zien hoe de overheid hiermee bezig is. Ze geven honderdduizenden uit aan het beveiligen van de overheid, maar de basis hebben ze niet goed. Het aanschaffen van SSL-certificaten verhelpt dit probleem en kost de overheid slechts een paar duizend euro." Hoewel gevallen van identiteitsdiefstal in Nederland onbekend zijn, wil dat niet zeggen dat het niet voorkomt. Dat zelfde geldt voor de infrastructuur die voor het versturen van de informatie wordt gebruikt. "Je kunt niet op een ander vertrouwen", zo besluit Van Brouwershaven.

Update 14:05
Volgens Joost Pol van Certified Secure zijn SSL-certificaten belangrijk, maar wordt het geschetste gevaar dat vanwege het ontbreken van een certificaat eenvoudig vertrouwelijke gegevens te bemachtigen zijn, ernstig overdreven. "Het installeren van een SSL-certificaat is geen enkele garantie dat criminelen er niet met je gegevens vandoor gaan." Het grootste gevaar schuilt in fouten in de applicatie zelf, kwetsbaarheden als SQL-injectie en cross-site scripting zijn nog altijd dé achilleshiel van de meest websites.

Pol vindt het jammer dat de media zich in dit geval niet kritischer heeft opgesteld en van een mug een olifant maakt. "Waarom zou je moeilijk doen door netwerkverkeer te onderscheppen, als je ook via één eenvoudig commando een hele database kunt leeghalen." Certified Secure adviseert bedrijven en overheidsinstanties vooral in de beveiliging van de webapplicatie zelf te investeren. Pol raadt verder iedereen aan de gratis webapplication scan checklist te downloaden, in plaats van geld te investeren in een vals gevoel van veiligheid.