VVD stelt Kamervragen over onbeveiligde FTP-servers
De VVD heeft staatssecretaris Teeven van Veiligheid en Justitie Kamervragen gesteld over een recente uitzending van het Radio 1-programma Reporter waaruit bleek dat er 21.000 onbeveiligde FTP-servers in Nederland zijn. In sommige gevallen bleken de FTP-servers gevoelige en persoonlijke informatie te bevatten, zoals wachtwoorden, scans van rijbewijzen en paspoorten, salarisadministratie en andere privégegevens.
VVD-Kamerleden Oosten en Dijkhoff willen van Teeven weten of er gevallen bekend zijn waarbij gegevens van slecht beveiligde FTP-servers zijn misbruikt. Ook vragen ze welke (juridische) waarborgen er zijn om de privacygegevens van burgers op FTP-servers te beschermen.
Verder moet Teeven antwoord geven op de vraag welke maatregelen het ministerie en het Nationaal Cyber Security Centrum nemen om burgers en bedrijven tegen misbruik van slecht beveiligde FTP-servers te beschermen en welke verantwoordelijkheden burgers zelf hebben om hardware en software veilig in te richten. De vragen zouden binnen drie weken beantwoord moeten worden.
Waarom echter de vvd verwacht dat fredje t. er iets zinnigs over kan zeggen ontgaat me een beetje. Willen ze nou dat de nasjonale siebersekjoeritieambtenaren naar open ftpservers gaan scannen? Is dat wat we willen?
Wat me vooral tegenstaat, en niet zozeer bij specifiek deze kamervragen maar bij zowat alles wat de polletiek doet tegenwoordig, is dat het niveau nogal diep gezakt is, en compleet gedreven door wat er gisteren op de kijkbuis te zien was of eventueel over twittar of de nieuwe hyves vloog. Een landsbestuur onwaardig. Het resultaat is dan ook dat wij een onwaardig landsbestuur hebben.
beschermen?
Werkelijk?!, en jij zit in de 2e kamer? Welke waarborgen zijn er bij diefstal van privacygegevens? Welke waarborgen zijn er wanneer een burger zijn privacygegevens zelf in de krant zet? Volgens mij zijn dit toch vrij simpele vragen die echt niet anders worden omdat het nu om digitale zaken gaat. Of vergis ik me nu Arnoud ;)
waarschijnlijk gewoon een scanhub, of ze hebben zelf een portscan gedaan.
Met een beetje geluk komt de wijkagent een keer poolshoogte nemen en je waarschuwen, als het al niet te laat is. Dus Fred T. is binnenkort onze cyber wijkagent die iedereen mag aanschrijven. 't Is wel te hopen dat ie zijn mail goed opstelt anders wordt ie ook nog eens als spammer gekenmerkt.
Kansloos dus...
Enige uitzondering die ik kan bedenken zijn de zogenaamde hacks en daaruit voortvloeiende publicatie van gestolen gegevens, die mogen samsam betaald worden wat mij betreft (50% slachtoffer, 50% hakselaar).
En alle boetes gelijk overmaken naar het CPB e.d. ipv het spekken van de overheidskas natuurlijk, anders krijg je alsnog klasse-justitie binnen de overheid zelf.
Met een beetje geluk komt de wijkagent een keer poolshoogte nemen en je waarschuwen, als het al niet te laat is. Dus Fred T. is binnenkort onze cyber wijkagent die iedereen mag aanschrijven. 't Is wel te hopen dat ie zijn mail goed opstelt anders wordt ie ook nog eens als spammer gekenmerkt.
Kansloos dus...
mijn FTP server is beveiligt
a- met een strenge config file
b- met fail2ban, na drie keer een verkeerd username/pass wordt de aanvaller geblokd voor 3 uur
c- laatste versie van de ftpserver icm clamav, virussen uploaden is kansloos
d- documenten staan er niet op, die staat op de hoofd pc.
het enige wat ze kunnen meenemen zijn mp3 en films
ssh staat op PermitRootLogin = NO, dus een evetuele geluksvogel kan mijn systeem niet verkloten
ftp users zijn trouwens virtueel icm mysql
Heb je wel een FTP server of bedoel je een SFTP server?
Met FTP servers gaat alles onbeveiligd het internet over.
Maar verder bedankt voor je informatie...
Brandpunt reporter Zo lek als een mandje
http://www.uitzendinggemist.nl/afleveringen/1311089
ssh staat op PermitRootLogin = NO, dus een evetuele geluksvogel kan mijn systeem niet verkloten ......
l
Wel even sportief zijn en het internetadres van je FTP-server vermelde ;-)
Er zijn 21.000 FTP-servers gevonden met anonymous access. Vrij standaard gebruik.
Echter staat daar kennelijk ook gevoelige data op door verkeerde inrichting van de sysadmin.
Hoe ik mijn FTP heb ingericht? Ik heb 'm offline gehaald. FTP is echt niet meer van deze tijd.
User/pass uncrypted over de wire en het is een firewall nightmare. Er zijn voldoende alternatieven.
Je moet er alleen wel eerlijk over zijn: Alles wat je er neerzet is qq publiek.
En die alternatieven? Ik zie ze eigenlijk niet. Hoeveel hosters ondersteunen, ik noem een dwarsstraat, sftp? ftps is al teveel moeite, terwijl het gewoon kan. Of bijvoorbeeld rsync over ssh? Je blijft er vastzitten aan ftp, want een bestaand alternatief opzetten lukt ze niet. Dus wordt er maar gehannest met... flash-web-upload "alternatieven". Oh wat fijn.
je moet toch wel extreem dom zijn om een openftp te draaien of de standaard gebruikersnaam/wachtwoord niet te veranderen
Nee hoor.. je moet "gebruiker" zijn... :)
Misschien is gewoon een betere vraag waarom die privacy gevoelig gegevens op een FTP server te vinden zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
