Onderzoek: gemeentelijke e-mail slecht beveiligd
Gemeenten hebben hun e-mail slecht beveiligd, zo stelt het magazine Binnenlands Bestuur aan de hand van een steekproef met de e-maildomeinen van vijftig verschillende gemeenten. De meeste gemeenten voldoen niet aan standaarden als dkim, dmarc en spf om spoofing, spam en phishing terug te dringen.
Alleen Den Haag, ‘s-Hertogenbosch en Woerden maken wel gebruik van de standaarden. Daardoor is het bij veel gemeenten bijvoorbeeld mogelijk om phishingmails te versturen die vanuit de gemeente afkomstig lijken. Ook een beveiligde gegevensuitwisseling via tls-encryptie is voor veel gemeenten een probleem, omdat er geen gebruik van starttls wordt gemaakt. Hiermee kan er een smtp-sessie over tls worden opgezet. Van de vijftig geteste gemeenten maken er 14 geen gebruik van tls.
"Zonder deze standaarden kan iedereen zonder problemen een niet van echt te onderscheiden e-mail sturen namens een willekeurige ambtenaar", zegt Michiel Leenaars, directeur van Internet Society Nederland. Hij stelt dat veel overheidsorganisaties behoorlijk laks zijn als het op informatiebeveiliging aankomt. "Ook als ze er al jaren op worden gewezen door externe beveiligingsexperts en organisaties als NCSC en Forum Standaardisatie."
STARTTLS is vergelijkbaar met een redirect van http naar https. Genoeg manier om in te breken tijdens de initiele fase van de verbinding. Voor websites bestaat HSTS. Voor mailservers is zo iets er (volgens mij) nog niet. Veel mailservers zullen ook niet automatisch overschakelen naar TLS als standaard SMTP niet reageert.
Peter
Op die manier loop je als grote overheidsorganisatie altijd achter de feiten aan en is er helaas elke zoveel tijd een "onderzoek" die uitwijst dat het allemaal prut gesteld is met de veiligheid. Laksheid heeft daar NIKS mee te maken, de werkelijkheid van alle dag, politiek en geld helaas wel.
STARTTLS is vergelijkbaar met een redirect van http naar https. Genoeg manier om in te breken tijdens de initiele fase van de verbinding. Voor websites bestaat HSTS. Voor mailservers is zo iets er (volgens mij) nog niet. Veel mailservers zullen ook niet automatisch overschakelen naar TLS als standaard SMTP niet reageert.
Peter
Hey Peter, ja dat klopt. Configureren van de mail-omgeving moet daarom extra zorgvuldig gebeuren en zo veel als mogelijk security features daarbij aanzetten.
Persoonlijk mogen van mij de grote email providers mail naar niet TLS mail servers gewoon blokkeren. Dan schakelen de providers vanzelf wel mee :).
De eerste en laatste zijn misschien inmiddels standaard, maar dmarc is nog verre weg van een standaard techniek omdat er nog veel te weinig providers zijn die er echt op blokkeren en te weinig domeinen die een actieve policy ingesteld hebben.
GMail is er een van, maar die beschermen hun eigen mail nog steeds niet met dmarc. Hoe staat het daar overigens mee. Vorig jaar heeft Google aangekondigd dat ze per juni 2016 eindelijk ook hun 'gmail.com' account via dmarc zouden gaan beschermen. zie: https://www.security.nl/posting/448417/Google+gaat+strenger+DMARC-beleid+voor+Gmail+doorvoeren
Het is inmiddels juni 2016, maar ik heb hier nog niets nieuws over gelezen. Hun dmarc-policy staat in elk geval nog steeds op none:
_dmarc.gmail.com descriptive text "v=DMARC1\; p=none\; rua=mailto:*******-reports@google.com"
En als zo'n mailspecialist hier moeite mee heeft om dit goed te implementeren in hun complexe mailstruktuur, dan kun je de gemeentes toch niet te veel verwijten voor dit protocol.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
