Opstelten: geen reden voor dumpen IE
Het Nationaal Cyber Security Center (NCSC) heeft juist gehandeld door geen alternatieve browser te adviseren toen er een nieuw lek in Internet Explorer werd ontdekt. Dat laat minister Opstelten van Veiligheid en Justitie weten. De zero-day kwetsbaarheid werd voor gerichte aanvallen gebruikt. Aangezien er geen beveiligingsupdate was om het probleem te verhelpen, adviseerde de Duitse overheid om een alternatieve browser gebruiken. Een advies dat door de Consumentenbond werd overgenomen.
SP-Kamerlid Sharon Gesthuizen wilde van minister Opstelten weten waarom Nederlanders niet daadkrachtiger waren gewaarschuwd voor het lek in de browser, bijvoorbeeld om op een andere browser over te stappen.
Indruk
"Het NCSC doet regelmatig melding van kwetsbaarheden in de verschillende programma’s waarmee websites op internet bekeken kunnen worden (browsers). Ik wil u er hierbij op wijzen dat het NCSC in de periode van 29 augustus jl. tot 20 september jl. ook diverse adviezen over kwetsbaarheden in de 4 meest verspreide alternatieven voor Internet Explorer (Apple Safari, Google Chrome, Mozilla Firefox en Opera) heeft gepubliceerd", aldus Opstelten in zijn antwoord.
Het advies om over te stappen op een alternatieve browser zou volgens de minister onterecht de indruk van een volledig veilig alternatief wekken.
"Het NCSC heeft de afweging om een alternatieve browser te gebruiken bewust bij de individuele gebruiker en organisatie gelaten. Daarbij speelt mee dat het wisselen van browsers voor veel individuele gebruikers, maar zeker voor organisaties, niet eenvoudig is omdat interne programma’s vaak afhankelijk zijn van het type browser dat wordt gebruikt."
Actief
De vergelijking met lekken in andere browser gaat volgens sommige experts niet op, aangezien die lekken niet actief worden gebruikt om bij organisaties in te breken, terwijl dat in dit geval wel gebeurde. Het laatste lek in Firefox dat actief werd misbruikt en waarvoor nog geen update beschikbaar was, dateert uit 2010. In het geval van IE werden er de afgelopen 19 maanden 6 zero-days voor een periode van zeker 89 dagen actief misbruikt.
~
Mystic
~
Mystic
Ik denk juist dat de tweede kamer steeds gekker wordt, door over de meest onzinnige onderwerpen vragen te stellen.
Onderwerpen die juist voor je eigen verantwoordelijkheid zijn.
Indien 0days op kleine schaal misbruikt worden voor gerichte aanvallen, dan duurt het vaak meer dan een jaar voordat dit misbruik wordt geconstateerd - als het incident al ooit gevonden wordt. Wat dat betreft is het erg de vraag of we wel weten hoeveel 0days in diverse browsers op dit moment misbruikt worden ?
~
Mystic
Helaas is het budget -ons dus- te weinig om daat enig vertrouwen in algemene zin aan te verbinden.
Thaddy
Vanaf dat moment kun je wachten op artikelen zoals http://www.security.nl/artikel/43225/1/Datingsite_besmet_bezoekers_via_IE-lek.html.
welke internetexp ik gebruikt maak ik zelf wel UIT opzouten
of was het nou opstelten?
PS: De vraag van de Tweede Kamer was weldegelijk gegrond n.a.v. de actie van Duitsland, als NL tot een beslissing komt die 180 graden tegenover de beslissing van Duitsland (NL meest belangrijke handelspartner !), dan mag daar best een kritische kanttekening en/of wat onderbouwing bij gevraagd worden; lijkt me juist zeer zorgvuldig & wenselijk.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
