of te wel.
ik ontken dat ik met mijn portscan schade wilde toevoegen, door later in te breken...

Je kúnt natuurlijk zeggen, er is geen andere legitieme reden om te portscannen dús is elke portscan bewijs van de wens in te gaan breken. Maar dat voelt wel een beetje te kort door de bocht.

Dat lijkt me inderdaad te kort door de bocht. Ter vergelijk, je mag ook door een winkelstraat lopen en inventariseren welke diensten en producten daar te krijgen zijn. Deze informatie kan door criminelen gebruikt worden om te bepalen waar ze inbreken. Maar ook door "gewone" mensen die willen winkelen. Waarom zou dit digitaal anders zijn? Als iemand zijn dns of proxy open zet voor publiek gebruik, waarom zou dit dan niet geinventariseerd mogen worden door derde?

Als een portscan op zichzelf strafbaar is, dan zou door een woonwijk waar je niet zelf woont lopen en om je heen kijken ook al snel strafbaar worden lijkt me. Dan observeer je ook of er woningen zijn met open ramen, slechte schuttingen, weinig verlichting etc. Ik weet niet of de analogie helemaal op gaat, maar het kijken zelf kan moeilijk strafbaar zijn lijkt me. Anders gezegd, als het kijken of ergens een service draait strafbaar is, is het dan ook strafbaar om een verkeerde URL of ip-adres in te tikken in je browser? (alhoewel daar eenvoudiger aannemelijk te maken is dat er geen opzet in het spel is, of poging tot)

Klopt. Dus als je software gaat "porten", dan krijg je vervolgens een gehavend systeem...
Maar gelukkig kan "port" ook nog gewoon "poort" of "ingang" betekenen. ;)

Juridisch dus kennelijk weinig aan te doen.
Maar is er technisch niet wat aan te doen met een "netfilter" o.i.d. in geval dat je je server
maar aan een beperkt publiek wilt blootstellen, waarvan de IP-adressen bekend zijn?
(http://nl.wikipedia.org/wiki/Netfilter)

Ik stel me voor dat een netfilter zo kan worden ingesteld dat internetverkeer dat afkomstig is van
ongewenste IP-adressen wordt genegeerd. (="stealth" mode, zodat de server voor hen onzichtbaar blijft)

Technisch is er wel wat aan te doen. Zoals je zelf al aangeeft kan je de firewall instellen om alleen bepaald verkeer door te laten, en de rest te weigeren. Zoiezo zou ik ICMP ping blokeren van buitenaf. Dat scheelt al weer een stuk :)

Portscannen als voorbereidingshandeling voor computerinbraak, dat kun je natuurlijk denken, maar een mens kan zoveel denken. En de analogie met het door een woonwijk lopen als voorbereiding op woninginbraak, grappig hoor, wat denken we dan van de wagens van Google Streetview?

Men kan ook op, zeg, port 80 scannen om in kaart te brengen wat de marktaandelen van de verschillende WWW-servers zijn, of zo. Volkomen legitiem.

Hoe veel ICMP ping zie jij tegenwoord nog langskomen? Ik zie ze amper nog. Verder is ICMP wel handig als je bij familie of op vakantie bent en je problemen hebt om je server thuis te bereiken. Dan kun je met een ICMP ping request in ieder geval controleren of de verbinding er nog is.

P.S. Ik ben in ieder geval blij dat je onderscheid maakt en niet stelt dat je ICMP moet gaan blokkeren.

Peter

Er zijn diverse port-scan projecten op Internet, waarin oa. het aantal web servers, email servers e.d.in kaart gebracht wordt. Ook zijn er die bv. aantallen kwetsbare en niet-kwetsbare implementaties van bv. SNMP in kaart brengen. Dat geeft belangrijke informatie die voor iedereen beschikbaar is, en inzicht geeft in bv. veiligheid van servers (ik ben wel eens gescanned door een IP adres, die op dat IP adres een toelichting geeft waarom ze het hele internet scannen, en welke IP adressen van hun zijn). Een soort marktonderzoek.
Wat is daar op tegen?

Ik begrijp het probleem niet helemaal, waarom zou je juridisch willen optreden tegen iemand die een port-scan doet?

In de echte wereld ga je toch ook niet met juridische straffen dreigen als iemand aan jouw gammele deur voelt om te kijken of die open is? Je zorgt gewoon voor een goede deur!

Dus: zorg voor een firewall. Als je niet tegen port scans kan, moet je niet op het Internet gaan zitten...

Er is laatst iemand in het VK veroordeeld voor het toevoegen van "/../.." aan een URL in z'n adresbalk. Was dat poging tot inbraak? Wat mij betreft een beetje kort door de bocht*, maar strikt genomen kun je het zo uitleggen. Persoonlijk denk ik dat het tegen de geest van het internet ingaat, qv "Postel's robustness principle"**, waar systemen tegen een stootje moeten kunnen. Dat het dan nog steeds niet te bedoeling is om maar aan elke deur te gaan rammelen moge duidelijk zijn, maar om dan gelijk maar veroordelingen uit te delen want er had wellicht een stukje software mogelijk de hik kunnen krijgen... nee.

Het probleem van strafbaar stellen is dat je dan ook moet vervolgen als het gebeurt, want anders wordt de wet een dode letter die alleen nog maar uit de kast wordt getrokken als je iemand goed dwars wil zitten, en dat is willekeur--eenzelfde soort reden als waarom wetten vrij precies verwoordt moeten worden en dus niet overbreed mogen zijn willen ze nog iets met recht van doen hebben (hallo VS). En iedere puber met een scanner vervolgen gaat'm niet worden, ook als ze niet in China wonen.

Het zou fijn zijn als je een poortscanner zou kunnen opbellen en 'm vriendelijk vragen zich niet zo asociaal te gedragen. Sinds september 1993 is dat niet meer realistisch. Moet er dan maar met de wet in de hand tegenin gemarcheerd worden? Lijkt me eigenlijk niet, wegens die willekeur en alle verdere problemen die je er mee moet oplossen. Mag een shodan? En als niet, wat van netcraft? En google, zo van "index of /etc"? Welke queries nog wel, en welke niet meer? Als google resultaten filtert mag het dan ineens wel, en op welke grond? Wat als iemand zijn eigen zoekmasjientje bouwt, dat niet filtert?

Daarnaast klinkt de vraag een beetje als van iemand die z'n neus gestoten heeft en nu terug wil slaan via de wet. Je weet wel, machines bleken lek en als eerste reactie aangifte willen doen tegen de melder. Dat is niet handig, ook al is de reactie nog zo begrijpelijk. Het internet heeft gewoon een soms verdraaid sterke onderstroom van scans, dat komt mee met de grootte. Daartegenin proberen te procederen, zelfs te wetgeven, gaat 'm gewoon niet worden.

Hoe on-net het ook is om andermans hosts langs te gaan op open diensten.

* Wat ze in het VK wel vaker zijn, zie "extreme porn"-wetten, verschillende stukjes terreurwetgeving, en meer van zulks.
** Ook al ergens in de bijbel te vinden, daar niet van.

Je stelt je wat dingen voor waarvan het beter is ze even recht te zetten. Netfilter is de naam van een specifiek stuk software op linux dat ondertussen alweer minstens twee keer is vervangen, en andere systemen hebben vergelijkbare constructies die weer anders heten. Onder andere, "ipchains", "ipfilter", "pf", "ipfw", "ipf", een aantal commercieelen, en vele vele windows "firewalls", en zo verder.

De technische term is "packet filter". In de volksmond heet het "firewall", maar een propere firewall is een superset van een packet filter; het kan meer. Een packet filter filtert op IP (adressen, vlaggetjes), ICMP (types), en TCP danwel UDP niveau (poorten, vlaggetjes). Een firewall kent ook "hogere" protocollen vanbinnen en kan daar beslissingen op nemen.

"Stealth" is ook zo'n mooie "ik denk me dingen in"-term, eentje die zichzelf al nutteloos heeft doen blijken. Vergelijkbaar met de reflex om "alles behalve poort 80" te blokkeren, en dus ging iedereen, van aanvaller tot reguliere softwaremaker, uitvogelen hoe zijn programma door poort 80 heen te persen anders werkte het niet meer. Dat was dus contraproductief. Zo ook "stealth"; je kan stoppen op ICMP ECHO te antwoorden met ICMP ECHO REPLY (samen "ping") in de hoop zo "onzichtbaar" te zijn, alleen toen sloegen de scanners de "eerst een ping sturen"-stap over en begonnen ze gelijk met blind aan poorten te rammelen.

Natuurlijk kan je van bepaalde IP adresreeksen alle inkomende pakketten laten vallen ("DROP"), zodat er nooit een antwoord komt, maar hoe weet je nou welke adressen je wil blokkeren? Weet jij zeker dat je nooit zaken wil doen met hele landen?

Dat dit makkelijk verkeerd uitpakt was te zien toen verizon (grote Amerikaanse retailISP) besloot dat er toch alleen maar spam vanuit Europa kwam en alle mail dus maar blokkeerde. Op een moment dat er net in het nieuws was geweest dat meer dan de helft van alle spam uit de VS kwam. Daar maakten ze echt vrienden mee.

Wat je wel kan doen, en wat ook veel gebeurt tegenwoordig, is om een script door je logs te laten kijken en (bepaalde typen) fouten te laten detecteren. Komen er teveel binnen te korte tijd van een bepaald adres dan wordt het adres voor een bepaalde tijd geblokkeerd, en daarna weer gedeblokkeerd.

Dit wordt wel gedaan bij ssh brute force attacks. Bijvoorbeeld meer dan vijf pogingen in vijf minuten levert een blokkade van een uur op. (Liefst wel ook goede logins de timer laten resetten.) Persoonlijk zie ik het niet als beveiligingsmaatregel --dat lossen we anders op-- maar als rem op het opvullen van de logbestanden.

Maar alweer moet je oppassen met dit soort gein. Zet je zo'n ding bijvoorbeeld op je webservertje, en maak je zelf een fout, dan kan dat makkelijk escaleren doordat een enkele pagina makkelijk meerdere verdere aanvragen oplevert. Een toegangsbitje verkeerd gezet op de plaatjesfolder kan makkelijk tientallen foutmeldingen per legitieme aanvraag opleveren, en zo blokkeert je script ineens al je bezoekers. Foutje!

Je moet dus altijd opletten dat het middel niet onverhoopt erger blijkt dan de kwaal.


Slecht en achterhaald advies. Je maakt het jezelf en je legitieme gebruikers vooral moeilijker eventuele problemen op te lossen en koopt er onderhand niets meer voor. Je kan hooguit ICMP rate limiten en dat staat in de betere OSen standaard aan. Slechte OSen moet je niet gebruiken op het publieke internet.


Het "echte wereld"-equivalent van scannen-en-indexeren. Dus niet automatisch legitiem. Persoonlijk zou ik er beter mee kunnen leven als het gluurapparaat op niet hoger dan twee meter stond. Nu kijkt'ie over schuttingen heen waar een gemiddelde wandelaar dat niet kan.

Is dat volkomen legitiem? Je zou het zo zeggen, ze geven die informatie gewoon weg. Maar anderzijds, je wordt geacht de resultaten in je browsertje te laden, en daar ga je nu buiten zitten. Sterker, zelfs recht op en neer de inhoud van een website indexeren mag niet zomaar van de rechter -- zie die rechtszaak van nieuwsagentschappen tegen google. Niet dat ik er zo over denk, wel dat je er zo over kan denken, dus als advocaat van de duivel.

@peter
Hoe veel ICMP ping zie jij tegenwoord nog langskomen? Ik zie ze amper nog.

Dat is goed punt. Het wordt minder en minder gebruikt. Zeker de echte jongens trekken zich niks aan van het feit of een systeem wel of niet op ping reageert. Maar ik denk dat het nog wel wil helpen om scriptkidies met standaard tooltjes te ontmoedigen. Maar misschien is dat ook al achterhaald. Ik doe het in iedergeval standaard nog wel.

De scans worden veelal van buitenlandse ip-adressen uitgevoerd. Welk recht is dan van toepassing?

Interessanter nog: heel veel scans worden uitgevoerd door nietsvermoedende slachtoffers van een worm / botnet besmetting.

Vaak helpt het bij dit soort vraagstukken een analogie met de echte wereld te vinden die realistischer is dan de vergelijking met iemand die met een bivakmuts op om drie uur 's nachts aan deuren en ramen loopt te morrelen.

Is het strafbaar om (zonder bivakmuts en zonder breekijzer op zak en gewoon overdag, dus open en bloot) bij een willekeurig huis aan de deur en ramen te voelen of deze open of dicht zijn?
Ik kan het mij haast niet voorstellen. Zeker niet als je het bij alle huizen in een straat of dorp doet met als argument dat je met een onderzoek bezig bent naar de beveiliging van huizen.

Ik begrijp dat het 'verdacht' overkomt, maar zoals anderen hierboven ook al schreven, er zijn meer redenen te bedenken waarom er portscans worden uitgevoerd.

Daarnaast, wij met z'n allen moeten niet voor alles een juridische oplossing willen hebben. Wij moeten er zelf voor zorgen onze zaakjes op orde te hebben zonder steeds als een klein kind (wij) naar z'n moeder (de overheid?) te rennen en te roepen "mama, Jantje doet het weer!"
Zorg er gewoon voor dat je de boel technisch op orde hebt, dan hoef je ook niet te piepen als er eens iemand aan jouw achterdeur rammelt (-:

Voor de duidelijkheid: Ik heb het alleen maar over het rammelen aan de deur. Op het moment dat je binnenstapt omdat de deur open bleek te staan wordt het een ander verhaal.

Advies aan de afzenders om dit eens door te mailen aan dhr. Arnoud Engelfried. k Ben benieuwd!

En even in het verlengde hiervan: wat doe je aan derde partijen die (soms ook vanuit het buitenland) zonder toestemming je NAW+telefoonnummers (van particulieren dus; geen bedrijven) publiekelijk op het internet vermelden, zoals plusadres.nl en meer van dat soort sites. Je kunt ze misschien wel mailen om je gegevens te verwijderen, maar:
1. de meeste mensen weten niet eens dat zulke websites bestaan.
2. zoiets hoort "opt-in" te zijn en niet "opt-out".
3. je moet maar afwachten of ze je daadwerkelijk gaan verwijderen, en je laat ondertussen stiekem weten dat hun informatie over jou kennelijk nog steeds correct is...

Ik ken iemand die een jaartje geleden bij KPN heeft opgegeven om zich uit de telefoongids te laten verwijderen,
en die in de waan verkeert dat hij nu niet meer zomaar door iedereen gebeld kan worden. Mooi niet dus...
"Macht kein flaus aus" als derde partijen onbelemmerd doorgaan met het lekken van zulke informatie!

Complimenten voor de begrijpelijkheid van de tekst.

In de juridische wereld ontbreekt het nogal eens aan Jip en Janneketaal. Dan is het vervolgens heel verheldered om een dergelijk artikel te lezen.

Ik vind dat een portscan meer te vergelijken is met een groep mensen die kijken naar jouw garage-sale...
Jij hangt wat aan internet, het internet is bedoeld om informatie te delen.
Dat jij wat aan internet hangt dat je niet wilt delen is JOUW probleem, maak daar niet mijn probleem van AUB.

Op de Ziggo routers wordt volgens mij per default de ICMP geblokt. Om pingbaar te zijn moet je dat in de voorkeuren aanpassen. Dat geld in elk geval voor mijn Ubee router, maar ik neem aan dat als het daar standaard zo gekozen is dat het ook voor hun Cisco routers geldt.

Door achter een bekende poort een honeypot met een kwetsbare service te zetten kun je de poging tot inbraak wel manifest maken.

portscans zijn random en automated niks tegen doen.