Opstelten reageert op Kamervragen over iTunes-lek
Minister Opstelten van Veiligheid en Justitie heeft eindelijk gereageerd op Kamervragen over een beveiligingslek in iTunes waardoor het mogelijk zou zijn om wachtwoorden van gebruikers te stelen. Het probleem werd in mei openbaar gemaakt en ontstaat doordat iTunes de servercertificaten niet controleert.
Een aanvaller die zich tussen Apple en het slachtoffer begeeft zou zo wachtwoorden kunnen onderscheppen. SP-Kamerlid Gesthuizen stelde Opstelten daarop verschillende vragen, zoals hoe groot de kans is dat Nederlandse iTunes- en iCloudgebruikers het slachtoffer zijn of kunnen worden van dit lek. Ook wilde ze weten of er al meldingen van personen bekend zijn die slachtoffer van dit beveiligingsprobleem zijn geworden.
De minister schrijft dat er op dit moment bij het Nationaal Cyber Security Centrum geen signalen van actief misbruik van deze kwetsbaarheid in Nederland bekend zijn. Ook zou de politie geen aangiftes hebben ontvangen waar uit het verband tussen aanvallen en iTunes gelegd kan worden.
Backdoor
Gesthuizen wilde ook weten of de fout mogelijk opzettelijk zou zijn aangebracht en of de minister kon nagaan of eventuele opzettelijke kwetsbaarheden ook bij andere bedrijven aanwezig zijn, bijvoorbeeld bij Java van Oracle. "Deze implementatiefout op het gebied van het TLS/SSL-protocol is door diverse partijen gemaakt. Ingaan op het vermeende gebruik hiervan door inlichtingen- en veiligheidsdiensten zou daarbij speculatief van aard zijn", aldus Opstelten.
Aangezien dergelijke implementatiefouten volgens de minister vaker voorkomen en het zeer zeker niet om een noodzakelijkerwijs opzettelijke kwetsbaarheid gaat, ziet hij geen aanleiding om op basis van dit lek onderzoek te doen naar andere bedrijven.
Veiligheid
Opstelten moest verder laten weten of hij van plan was om de veiligheid van Nederlandse iTunes- en iCloudgebruikers te verbeteren. "Nee, ik ga geen specifieke stappen ondernemen. Ik vind het wel van belang om de algehele digitale veiligheid, dus niet alleen van iTunes- en iCloudgebruikers, te verhogen", zo stelt de minister in zijn antwoord. Hij wijst daarbij naar de tweede Nationale Cyber Security Strategie (NCSS-2) die vorig jaar oktober werd gepresenteerd.
Ik zou meer onder de indruk zijn geweest als er gevraagd werd naar een oplossing die bedrijven verantwoordelijk maakt voor gevolgschade van slechte implementaties. Dan kan een gebruiker met schade ook makkelijker een vergoeding krijgen.
Bedrijven zijn nl. gevoelig voor aansprakelijkheid en zijn dan bereid verder te gaan.
Gemiste kans van Gesthuizen...
Lange termijn visies zijn maar saai en droog, zo ver kunnen we toch niet vooruit kijken. Bovendien moet je dan nog is afdwingen dat mensen zich gaan conformeren aan het beleid wat daaruit voortvloeid voor die lange termijn. Daar win je geen populariteitswedstrijden mee.
De kamer moet zich trouwens niet met software bemoeien,dat doen de softwarefabrikanten zelf wel na meldingen van klanten en beta testers,of soms door melding van een eerlijke hacker.
De kamer is niet een instelling die zich met verstand kan bezighouden met de ict sector.
Zij zijn er voor om het land te besturen en de infrastructuur op pijl te houden.
Zulks blijkt telkens weer zodra hem een microfoon onder de neus wordt gehouden en er geen souffleur in de buurt is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
