Parkeerbedrijf bij Schiphol lekte persoonsgegevens parkeerders
Een parkeerbedrijf bij Schiphol heeft de persoonsgegevens van tienduizenden parkeerders gelekt. Dat liet het televisieprogramma Kassa dit weekend weten. Een kwetsbaarheid in het reserveringssysteem van de parkeerbedrijven van Airport Parking Solutions maakte het mogelijk om het reserveringsnummer in de url te veranderen en zo andere reserveringen te zien. Op deze manier waren de persoonsgegevens van tienduizenden parkeerders toegankelijk.
Bij één van de parkeerbedrijven bleek dat het ook mogelijk was om de auto's van andere personen mee te nemen. Via het beveiligingslek konden de reserveringen van andere parkeerders worden geprint. Deze geprinte reserveringen bleken vervolgens voldoende om een auto op te halen, aangezien er niet om een legitimatiebewijs werd gevraagd. Airport Parking Solutions heeft de kwetsbaarheid inmiddels verholpen. Parkeerders krijgen voortaan een e-mail met hun gegevens toegestuurd en de reserveringen zijn niet meer online zichtbaar. Daarnaast is het personeel ingelicht om verplicht op identiteitsbewijzen te controleren.
Hoe was het ookalweer met die ene jihadist die maar niet te vinden was? Blijkt veertien van die dingen op zak te hebben gehad. Minstens. Dan kan je ze ook wel op bestelling laten maken met jouw foto en een handige naam. Dus. Identiteitsbewijzen lossen alles op. Handig!
Hoe was het ookalweer met die ene jihadist die maar niet te vinden was? Blijkt veertien van die dingen op zak te hebben gehad. Minstens. Dan kan je ze ook wel op bestelling laten maken met jouw foto en een handige naam. Dus. Identiteitsbewijzen lossen alles op. Handig!
Nee natuurlijk lost het niet alles op, maar in dit geval is het waarschijnlijk afdoende. Je moet bij beveiliging altijd ergens kiezen tussen "zo veel mogelijk veiligheid" en "zo veel mogelijk werkbaarheid en gemak". Als het gaat om een auto kan je het gekozen punt veel dichter bij "gemak" leggen dan wanneer je het hebt over toegang tot je kernbommen. Een identiteitsbewijs controleren zal in dit geval dus "afdoende" zijn. jihadisten met terroristische plannen en op bestelling gemaakte ID-bewijzen houd je er niet mee tegen, maar dat hoeft ook niet want die kunnen overal een auto stelen of huren. Wat je er redelijk mee tegenhoud zijn gelegenheidsdieven met korte-termijn winstoogmerk, en dat is voor een geparkeerde auto voldoende.
Hoe was het ookalweer met die ene jihadist die maar niet te vinden was? Blijkt veertien van die dingen op zak te hebben gehad. Minstens. Dan kan je ze ook wel op bestelling laten maken met jouw foto en een handige naam. Dus. Identiteitsbewijzen lossen alles op. Handig!
Nee natuurlijk lost het niet alles op, maar in dit geval is het waarschijnlijk afdoende.
"Gemak" voor wie? In dit geval: De werknemers en vooral ook de luie systeemontwerpers. "Net doen wat alle anderen doen, ook al is het meer schijn dan substantie, en zouden we dat onmiddelijk zien als we onze hersenen eens aanzwengelden. Maar het is veel gemakkelijker te doen alsof en niet werkelijk na te denken."
Het blijft afschuiven, en is daarmee per definitie niet afdoende. Het is afschuiven op twee manieren: Ten eerste, extra werk voor de klant. Ten tweede, gaat er iets mis dan zegt het bedrijf "Oh ja heel vervelend natuurlijk maar wij hebben togegwel om legitimasie gevraagd. Stomme schuld van de stomme klant. Dus."
Ziedaar de kern van het continue falen van beveiliging: Er wordt gewoon niet over nagedacht. Er wordt slechts uit gemakszucht de schijn nagejaagd. En liefst zoveel mogelijk afgeschoven. "De rotzooi die ik ervan gemaakt heb is niet mijn probleem."
In de beveiligingswereld wordt geleerd dat een beveiligingsmaatregel altijd in overeenstemming moet zijn met wat het personeel wil. Doe je dat niet, (dus druk je de maatregel zonder overleg dóór), dan is er een behoorlijke kans dat het personeel de maatregel 'niet ziet zitten'. Daardoor ontstaat een lacune in de beveiliging (het personeel voert stiekem immers de opdracht van de baas niet uit). Als er bijvoorbeeld sprake is van de aanschaf van dure beveiligingsmiddelen, dan kan een boycot door het personeel de ondernemer heel veel geld kosten. En dat nog los van de veiligheidsincidenten en het verlies van een goede naam die dan kunnen plaatsvinden.
Hoewel ik niet weet of dit ook geldt voor het bovengenoemde genoemde bedrijf, zou dat wel 1 van de oorzaken kunnen zijn waarom er niet gecontroleerd werd op de identiteit van de autobezitter.
Het is daarom noodzakelijk om beveiligingsmaatregelen vooraf met het personeel en de OR te bespreken. Dit voorkomt veel narigheid achteraf.
Hoewel ik niet weet of dit ook geldt voor het bovengenoemde genoemde bedrijf, zou dat wel 1 van de oorzaken kunnen zijn waarom er niet gecontroleerd werd op de identiteit van de autobezitter.
Ik denk eerder dat het hier personeel betreft zonder veel opleiding en geen motivatie. Ik kan me nml. niet voorstellen dat dit een goed betaald baantje is.
Mij lijkt het ook logisch dat als de vermeende eigenaar zijn originele reçuutje kwijt is, het personeel uitdrukkelijk de identiteit controleert. Als eigenaar van zo'n auto zou ik zelfs willen dat dat gebeurd, anders zou ik hen nooit meer een auto toevertrouwen.
Maar het ging hier altijd goed en dan wordt je nonchalant met de controle.
In het artikel staat Airport Parking Solutions.
De namen van de onderliggende BV's zijn niet interessant. Die zijn snel genoeg opnieuw aangemaakt en nog sneller van een andere naam voorzien.
Peter
Het is voor andere bedrijven een goede les. Beveiliging niet op orde staat gelijk aan negatieve publiciteit.
Overigens is het hebben van meerdere bedrijven met dezelfde activiteiten wel een reden om eens goed te kijken wat er aan de hand is, vooral als er geen reden voor lijkt te zijn.
Hoe zit dat? Moeten ID's weer gescand worden, zogenaamd "op echtheid"
en worden die ID-scans bewaard in een (mogelijk lekke) database waaruit later criminelen weer kunnen putten?
Mijn stelling: Het moet zonder ID-bewijs kunnen. Zo'n systeem moet worden bedacht.
En werkt het normale systeem (zonder ID) bij uitzondering eens een keertje niet, dán pas geeft ID uitsluitsel.
Anders verhoog je het risico op misbruik van (en gesodemieter met) ID's en ben je nog verder van huis.
Mijn stelling: Het moet zonder ID-bewijs kunnen. Zo'n systeem moet worden bedacht.
......
Stap 1 identificatie dat is de bewering wie je bent.
Stap 2 authenticatie het bewijs leveren dat die bewering klopt.
Je identiteitsbewijs dat originele ding dient nu net voor dat authenticeren. Ja daarvoor is het bedoeld waarom daarover moeilijk dien?
Dat er instanties personen zijn die het noemen van een bsn of kopie paspoort als bewijs / autentixatie zien dat is de kolder. Zoiets zou gewoon gestopt moeten worden. Kopietje paspoort bsn ... ja en nu graag het echte bewijs. De fout zit bij degene die zo'n kopietje accepteren.
Auto ophalen met afgegeven sleutels graag die id controle. Volstaat in dat geval zoals Reinder aangeeft. What else...
Overigens ook op de site een url met reserveringsnummer. Daar zit iets mis als cross_ref code injection post/get verwisseling.
Dat er op de auto gefocussed is wat eenzijdig. Het woonhuis met een verhuizing verblijden had ook gekund. Maar ja dat is al op facebook te zien of ... of ...
en worden die ID-scans bewaard in een (mogelijk lekke) database waaruit later criminelen weer kunnen putten?.
Waar haal jij dat idee vandaan? Ik kan het noch uit de tekst halen, noch uit de uitzending zelf. Gewoon lezen wat er staat en er verder niets bij verzinnen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?