Linux distro bouwen op cd branden of iig ReadOnly draaien en daar je vm in een chroot en dan een iso in die vm in die chroot op die readonly environment trekken.

uiteraard is gebruik je belangrijkste veiligheid waarbij splitsing van toepassing het belangrijkste middel.

gebruik schermtoetsenborden voor wachtwoorden.

Maak minimaal twee VMs, één voor het dagelijkse internetavontuur en één schone voor serieus gebruik en houd je Windows host-systeem "schoon". Als je wilt experimenteren met nieuwe/onveilige software of internetdiensten maak je eerst een kopie van je dagelijks-gebruik VM zodat je gemakkelijk terug kunt als je experiment mislukt en je geen zaken moeilijk hoeft te deïnstalleren.

Als je serieus bent, linux* als basis gebruiken en dingen die je gescheiden wil doen in aparte VMs stoppen, met een OS al naar gelang de taak. Beetje webbrowsen? Linux doet 't prima. Programmas draaien die alleen te krijgen zijn in windowsversie? windows gebruiken.

Gezien het aantal mensen dat nog steeds onbeveiligde en ongepatchte windowsinstallaties direct aan het open internet hangt is kijken naar wat "de meeste mensen" doen geen zekere leidraad voor je eigen beveiliging. Weten wat je doet is dat wel, dus ga je inlezen.


* Of iets anders, zolang het geen windows is kom je al een heel eind.

Optie 4:
Een image voor dagelijks gebruik en een ander image voor bankzaken.
Met de host zelf werk ik nooit.

Optie 1 is de minst verstandige, je kunt hierdoor malware oplopen in je host waardoor een VM-image ook niet meer 100% veilig is.

Qubes gebruiken https://qubes-os.org/

Als je graag veilig verschillende dingen op 1 pc wil doen zou ik je aanraadden te switchen van OS Qubes is een goed voorbeeld hiervan iedere qube is bedoelt voor een andere taak. bijvoorbeeld 1 voor sufen 1 voor de bank 1 voor werk 1 voor prive. https://qubes-os.org/

Ik denk dat je het concept VM niet juist gebruikt in je redenatie. Een VM is niets anders dan een virtuele computer die binnen het besturingssysteem van een gastheer-computer draait. Dat betekent dat de VM te gast is en voor al zijn resources zoals geheugen en internettoegang afhankelijk is van de gastheer. Een gastheer die kwaad in de zin heeft, zou al het geheugen van de VM kunnen lezen en internetverkeer kunnen afluisteren en aanpassen, zonder dat de VM er erg in heeft. Tenzij je zelf de gastheer beheert en deze uitsluitend gebruikt om VMs te draaien en nergens anders voor, zal je door een VM te gebruiken dus niet alleen kwetsbaar zijn voor rechtstreekse aanvallen op het systeem wat je gebruikt, maar zal je je ook druk moeten maken over wat er allemaal in de gastheer mis kan gaan.

Ik vermoed dat je bedoelt dat je een live systeem wilt gebruiken die read-only is, of die elke keer dat je hem opstart vanaf een bewezen veilig punt opstart. Dit wil je uiteindelijk het liefste doen op een machine die je vertrouwt en niet in een VM op een wellicht besmette installatie van een besturingssysteem wat je voor al je "onbelangrijke" dingen gebruikt. Zo'n live systeem (vaak linux) kan je dan bijvoorbeeld gebruiken voor je bankzaken, maar je kan er ook juist eentje kiezen voor ander gebruik waarvan je niet wilt dat er sporen van op je computer achter blijven. Het is hooguit vervelend als je bankrekeningnummer op je computer achter blijft, maar facebook cookies betekenen dat je elke website die je bezoekt waar zo'n duimpje op staat bij facebook geregistreerd wordt, om een voorbeeldje te noemen.

Je zal goed moeten bedenken welk gebruik je van de rest wilt scheiden en waarom je dat wilt. Houdt er wel rekening mee dat dingen als films kijken en games spelen vaak een bepaald besturingssysteem vereist, wat je keuzes beperkt, of je moet extra moeite doen om je doel te bereiken.

Ik vind het zeer overdreven om te internetbankieren in een VM. Daarnaast kan de linux VM ook allerlei vulnerabilities hebben (open-ssl?) die (nog) niet gepatched zijn.

Ik zou op de windows pc gewoon een aantal maatregelen treffen, je kunt bijvoorbeeld denken aan:

-installeer altijd windows updates
-stel UAC stricter in
-installeer een AD blocker plugin in de browser
-zet je browser in protected mode
-controleer de andere plugins in je browser, heb je die niet nodig? zet ze uit.
-gebruik een virusscanner
-zorg dat de windows firewall aanstaat
-scan dagelijks op malware

Ook kun je bijvoorbeeld gebruiken: http://www.sandboxie.com/
Dan heb je geen VM nodig.

Een linux VM is leuk, leerzaam om linux te leren kennen, maar als security maatregel behoorlijk misplaatst en overtrokken.

Security is trouwens ook een kwestie van risicomanagement. Maak onderscheid tussen diamanten en paperclips. Lijkt me niet dat je een paar miljoen wilt beschermen.

Ik kan je zeggen wat ik heb gedaan zonder te claimen dat dit de beste of meest praktische oplossing is: Ik heb gewoon een Windows 7 PC waarop ik een wordprocessor heb, foto bewerking software en spelletjes speel, dan gebruik ik Virtualbox met verschillende VMs, om te beginnen een met de pfsense firewall waarin ik met behulp van een package een aantal landen heb geblokkeerd, om niet xenofoob of zo over te komen laten we het erop houden dat ze daar tekensets gebruiken die ik toch niet begrijp. Achter deze firewall zitten dan nog 2 VMs, 1 voor het gebruikelijke internetten en een voor internetbankieren, voor internetbankieren blokkeer ik alles behalve de site van mijn bank en de site waarmee ik de Linux distributie up to date kan houden. Ik gebruik nergens Flash of Java (veel YouTube filmpjes werken al met html5) en als ik dan toch bepaalde content wil bekijken die het door al mijn blokkade acties niet doet neem ik het risico en gebruik dan Google Chrome (nu 64 bit), dit heeft een ingebouwde flash player en een sandbox en dan hoop ik er het beste maar van, met een paar plug-ins voor het blokkeren van advertenties en een cookie manager hou ik het een beetje in toom. Als ik echt een keer anoniem wil zijn en mijn IP niet wil achterlaten gebruik ik Whonix, dit zijn 2 aparte VMs waarvan er een alleen als tor gateway functioneert.

Dus je raadt Windows aan en *Nix af? Vervolgens timmer je je Windows zo ver dicht dat het nog nauwelijks bruikbaar is, ga je dagelijks op malware scannen en adviseer je Sandboxie voor het internetbankieren, lekker efficient allemaal.


Ik werk gewoon ALTIJD vanuit een VM, zelfs mijn XP-image voor het browsen is veiliger dan jouw aangedragen oplossing, laat staan m'n image voor internetbankieren, sorry hoor.

Thanks voor de adviezen allemaal! Ik ga nu denk ik voor de optie van 2 VM's: 1 voor dagelijks internet gebruik en de andere specifiek voor bankieren.

Voor dagelijks internetten denk ik aan Mint. Voor het bankieren zoek ik dan een kleine Linux distro.

Internetten onder Windows ga ik dan dus min of meer mee stoppen!

Ik raad niet al die maatregelen tegelijk aan, ik geef voorbeelden hoe je in Windows de beveiliging verder kunt verhogen.
Mijn advies zou zijn:

-gebruik windows firewall, hoef je niets voor te doen
-gebruik standaard windows virus scanner, hoef je niets voor te doen.
-gebruik ad blocker in de browser
-gebruik een third party anti malware tool

Gewoon internetbankieren in IE of FF op windows.
En doe niet zo moeilijk.

Jouw voorstel is niet veiliger, je hebt een klepel gehoord over linux security, maar een linux VM kan ook backdoors bevatten of ongepatchte kwetsbaarheden, verouderde software. Dat heeft Heartbleed wel bewezen. Er is geen reden om aan te nemen dat een Linux VM veiliger is dan een Windows 8 OS dat gewoon dagelijks verstandig gebruikt wordt en derhalve automatisch van updates voorzien wordt.

Top, bedankt voor de feedback!

Ik heb geprobeerd vriendelijk te blijven maar nu pis ik echt bijna in m'n broek van het lachen...
1 - Heartbleed heeft niets met internetbankieren te maken, zeker niet tav de eindgebruiker. (Als je dat al niet doorhebt...!)
2 - Backdoors, SSL, vulnerabilities zouden alleen misbruikt kunnen worden wanneer je gehakkert wordt tijdens het internetbankieren zelf. Dat dat lukt binnen zo'n korte tijd is al vrijwel onmogelijk, dat je daar helemaal niets van zou kunnen merken is (statistisch gezien) complete FUD.
3 - De echte dreigingen voor internetbankieren zijn (banking-)trojans en bellende oplichters, beide zijn (in 99.9% v/d gevallen) niet in staat om met een *Nix-bak om te gaan. De grootste dreiging is de gebruiker zelf, met een goed image is ook die vector vrijwel onschadelijk gemaakt.
4 - Er is dus genoeg reden om aan te nemen dat een VM (e/o *Nix) veiliger is, wat jouw persoonlijke mening dan ook mogen zijn.
5 - Ik ben er bijna zeker van dat je nog nooit een VM hebt gebruikt, anders zou je wel weten hoe makkelijk dat werkt allemaal. Dat je blijkbaar niet doorhebt dat ook Windows prima als host te gebruiken is maakt het alleen maar grappiger, moeilijk is het allerminst. Voor de meeste mensen dan toch :p
Ik heb trouwens ook nergens gezegd dat je Linux zou moeten gebruiken.
6 - Hoe kun je in hemelsnaam iemand AFRADEN om extra veiligheidsmaatregelen te treffen? Kost het jou iets? Ben je zo'n figuur dat mensen oplicht of zo? Of heb je gewoon geen flauw idee waar het hier over gaat?

Ik ga er maar gewoon van uit dat je het goed bedoelt, in dat geval ben je verder wel schattig hoor, dus bedankt voor je bijdragen ;)

1-je hebt mij niet horen suggeren, dat heartbleed iets met internetbankieren heeft te maken. Die link verzin je zelf, je kunt kennelijk niet begrijpend lezen. Ik noem Heartbleed als voorbeeld dat de eeuwige suggestie dat linux veilig is, in de praktijk tegen valt. Ook linux kent backdoors en kwetsbaarheden die niet gepatched worden omdat er geen patch is of omdat de linux-enthousiasteling even niet weet hoe hij de rpm moet installeren.

2-dit geldt voor backdoors in het algemeen, op windows of linux, geen onderscheidend argument dus.

3-vanaf..."met een goed image" loopt dit punt spaak. Een linux vm is niet veiliger dan een volledige geupdate windows 8 OS met FW en vscan.

4-Tuurlijk in theorie klinkt isolatie mooi. Maar het is niet uitgesloten dat in die isolatie dezelfde kwetsbaarheden leven. En als isolatie je doel is, waarom dan een hele VM, waarom niet gewoon sandboxie of een andere softwareoplossing?
Mijn punt: isolatie alleen is geen reden voor een vm. Dat kan ook anders.
Je kunt het wel interessant vinden om een vm te draaien en dan op zoek zijn naar rechtvaardiging. Ik heb dat minder, heb grote virtualisatieclusters ontworpen met Thz-en cpu-power en TB's RAM. Met daarop 600-800 vm's linux en windows.
Menig security debacle meegemaakt met linux vm's.

5-Zoals ik in 4 al aangaf, ik ben Vmware esx gecertificeerd (sinds 2004 een early adopter), heb ervaring met esx1.2 tot esxi5.5, heb virtualisatieclusters ontworpen, gebouwd en beheerd. Er zijn serieuze redenen om te virtualiseren. Virtualiseren om daarin te internetbankieren is spielerij en een overtrokken reactie op een security vraagstuk.
Je suggereert dat ik niet weet dat windows ook host kan zijn. Volgens mij bedoel je nu guest, je haalt de termen door elkaar. Als je wilt, kunnen we wel even verder discussieren over virtualisatie in het algemeen...Wie is er hier schattig *proest*

6-Ik raad geen extra veiligheidsmaatregelen af. Ik zeg dat een vm niet nodig is, dat is alleen maar een tweede os, die je ook moet patchen en bijhouden. Beter kun je de settings van je host OS goed zetten en/of iets met sandboxie doen. Maar vooral, overdrijf niet zo, voor die paar duizend euro op je rekening doen alsof je de Nachtwacht moet beveiligen.

Helaas is dat onjuist. Hoewel de kans om getroffen te worden door een aanval vermoedelijk veel kleiner is dan bij servers, is ook een client met een lekke versie van OpenSSL kwetsbaar voor Heartbleed. Zie bijv. http://researchcenter.paloaltonetworks.com/2014/04/protecting-vulnerable-clients-from-reverse-heartbleed/.

Ook dat is niet helemaal juist. Een MitM aanvaller kan het versleutelde verkeer opslaan en later (proberen te) decrypten (nog niet alle banken gebruiken forward secrecy, en als ze dit al ondersteunen moet de client dat ook doen). Daarbij kan een MitM aanvaller ook van downgrade-attacks gebruik proberen te maken (hoe ouder de client, hoe groter de kans dat dit lukt). De aanvaller kan zo wellicht gebruikersnaam en wachtwoord achterhalen. Als dat lukt hangt het van aanvullende maatregelen (zoals TAN-codes of 2FA devices) af of het vervolgens lukt om geld over te maken.

Zoals Anoniem van vandaag 13:51 ook aangaf, het gaat niet alleen om Heartbleed maar om elke potentiële kwetsbaarheid. Het is dus zaak om elke VM qua patches up-to-date te houden en niet te blijven vertrouwen op een ooit gemaakte (statische) snapshot.

Een dagelijks gebruikte windows installatie, ongeacht de versie is kwetsbaarder dan een VM die alleen wordt opgestart voor 1 specifieke reden. De kans dat de VM namelijk tijdens "dagelijks gebruik" geinfecteerd raakt met malware is vele malen kleiner dan de machine die voor van alles en nogwat gebruikt wordt. Dit heeft niets te maken met het OS wat in de VM draait, maar met het feit dat je 1 machine gebruikt voor een heleboel dingen en dat daardoor de kans op besmetting veel groter is.

Door er voor te zorgen dat je bankiergegevens niet op die machine staan, zorg je er voor dat je bij een besmetting die gegevens niet kan lekken. Daarom pak je voor bankieren een aparte VM. Als die VM niet perfect is, is de kans dat die gehacked wordt alsnog heel klein, want je gebruikt hem alleen om met je bank te communiceren en verder kan er niets bij de gegevens die er op staan. Natuurlijk betekent dat niet dat je daarom de beveiliging van die VM niet serieus moet nemen, die moet je ook updaten en dichttimmeren, want anders neem je onnodig risicos.

Als die VM zoveel veiliger was, dan zou je alles op die VM gaan doen. Helaas wordt hierdoor de VM weer minder veilig, dus het hele concept VM heeft an sich niets met veiligheid te maken. Het gaat om het feit dat je een kleine vertrouwde omgeving dedicated voor alleen bankieren gebruikt, waardoor kruisbesmetting en gegevenslekken veel minder makkelijk wordt.

@Anon 31-08-2014, 17:35:

Sorry v/d late reactie.

1 - Die link met internetbankieren is nu net waar dit topic om draait.

2 - Zeker geldt dat wel, naast de backdoors in een software -> OS, zul je ook nog uit de VM moeten breken. Bij organisaties is dat al een behoorlijk unieke gebeurtenis, bij particulieren is die kans vrijwel uitgesloten. Tenzij je echt serieus vermogend bent en je eigen centjes beheren wil, as if.

3 - Definieer veiliger dan eerst maar even. Ik stel nergens dat Windows niet te beveiligen is (dat is m'n werk nota bene) maar zeker wel dat het gebruik van meerdere OS bij particulieren een behoorlijke extra marge oplevert. Ik vind een extra marge veiliger, desnoods minder onveilig maar zeker niet minder veilig voor de TS.

4 - Jij vergelijkt je werk met de TS z'n prive-omstandigheden, als ik daar aan moet beginnen... Ik heb geen enkele interesse in je CV mbt dit topic, wél in wat je de TS aanraadt.
Waarom geen Sandboxie maar een "hele" (lol) VM? Sandboxie laadt de standaardbrowser in een (beperkt) afgescheiden omgeving. Als die basisbrowser besmet raakt ben je klaar, SB is maar een zeer beperkte bescherming tegen alles behalve drive-by's.
Gescheiden images op een verder ongebruikt (gepatcht) systeem resulteert in een voor eindgebruikers gebruiksvriendelijke, veilige omgeving voor louter internetbankieren (waarbij besmetting vanuit externa bronnen vrijwel uitgesloten is) en een andere omgeving voor surfen / mailen e/o games e/o media-server, etc. Als je niet inziet dat je op die manier veel minder kans hebt op problemen in de praktijk (particulier / commercieel), snap ik niet dat je ooit bent begonnen met VMWare.

5 - Nee hoor, ik denk dat we langs elkaar heen praten, ik reageerde op Overtrokken? Kijk, dat is er nu dus mis in ICT-land. Blijf jij lekker pleisters plakken omdat dat kosten-effectief lijkt, dan help ik eindgebruikers zoveel mogelijk verder zichzelf te beschermen tegen (emotioneel!!!) leed.
Bovendien geeft de TS tussen neus en lippen door aan dat hij wil experimenteren met VM, als je dat "spielerei" wil noemen prima, ik kan het alleen maar aanmoedigen.

6 - De TS vraagt hoe een VM te gebruiken bij het internetbankieren. Dat jij jouw mening / ervaring belangrijker vindt dan de motivatie van de TS om e.e.a. praktisch te beveiligen tegen veruit de meeste vectoren (= malware) vind ik ongepast en getuigen van een groot gebrek aan empathisch vermogen. De TS vraagt om een praktisch advies, geen kosten-baten-plaatje.


NB + @Erik van Straten: Alle respect (dat weet ik) maar een gescheiden image dat vrijwel onmogelijk besmet met malware kan raken voor louter internetbankieren is in de praktijk ook minder vatbaar voor MitM, al helemaal als de (verder ongebruikte maar wel gepatchte) host goed beveiligd is.
VM heeft verder weinig met netwerkbeveiliging zelf te maken, mijn reactie tav heartbleed is dan ook vooral voor de TS als eindgebruiker bedoeld, die FF als browser gebruikt. Patches zijn cruciaal, mee eens, maar een ongepatcht-gescheiden image is minder onveilig dan een gepatcht alles-in-één-OS voor (de meeste) eindgebruikers. Dat is de praktijk, phishing en malware zijn het probleem, uberhakkers hebben wel wat beters te doen dan de TS aanvallen mag ik hopen. Dat veel droppers geen payload injecteren in een VM is de kers op de taart.


Dank je, dat bedoel ik dus.

Dan kun je dus net zo goed sandboxie gebruiken. heb je geen hele VM nodig (met mogelijk intrinsieke lekken) maar een schilletje.
En wat dacht je van een keylogger. Wanneer je besmette host OS een keylogger draait, registreert deze ook de toetsaanslagen naar de VM.

Zoals gezegd, er zijn echte redenen voor virtualisatie. Internetbankieren beveiligen is niet een echte reden.
Beter is, in mijn optiek, zorgen voor een veilig host OS.

Gebruik voor gevoelige zaken (internetbankieren) een Chromebook.
Kosten vergelijkbaar met een betaald veiligheidspakket.
Doe met je andere computer(s) wat je wilt maar hou in de gaten:
- Wat je niet doet, wordt niet gezien.
- Wat er niet is wordt niet gestolen.