Deel e-maildomeinen vitale sector onvoldoende beschermd tegen spoofing
De vitale sector maakt niet altijd gebruik van standaarden voor e-mailbeveiliging, waardoor bijvoorbeeld spoofing mogelijk is, zo stellen Zembla en de Internet Cleanup Foundation op basis van onderzoek onder honderd bedrijven en organisaties. Het gaat dan om de standaarden SPF, DKIM en DMARC die niet zijn geïmplementeerd of onvoldoende strikt zijn geconfigureerd.
DMARC staat voor Domain Message Authentication Reporting & Conformance (DMARC). Via DMARC kunnen organisaties beleid instellen hoe e-mailproviders moeten omgaan met e-mails waarvan niet kan worden vastgesteld dat ze van het betreffende afzenderdomein afkomstig zijn. Het Sender Policy Framework (SPF) controleert of een verzendende mailserver die e-mail namens een domein wil versturen, ook daadwerkelijk gerechtigd is om dit te mogen doen.
Met DKIM kan de domeinnaamhouders aangeven met welke sleutel e-mailberichten moeten zijn gesigneerd. Verzendende mailservers ondertekenen alle uitgaande e-mail namens deze domeinnaam met deze sleutel. Ontvangende mailservers kunnen met behulp van DKIM controleren of de e-mail door een geautoriseerde partij is verzonden. Via de standaarden kan e-mailspoofing, waarbij een aanvaller zich in een e-mail voordoet als een ander door het afzendadres te vervalsen, worden voorkomen.
Van de honderd onderzochte organisaties hadden er 57 DMARC, DKIM en SPF ten tijde van het onderzoek de screening geïmplementeerd en strikt geconfigureerd. Bij de overige 43 bedrijven ontbrak minstens één van de drie veiligheidsstandaarden, of stond deze onvoldoende strikt geconfigureerd. Het gaat onder andere om de kerncentrale van Borssele, de KLM, hoogspanningsbeheerder TenneT en elektriciteitsproducent Vattenfall.
Van de 43 bedrijven en organisaties die niet alle veiligheidsstandaarden toepasten of strikt hadden geconfigureerd zeggen er 34 hun e-mailbeveiliging verder te zullen aanscherpen. In juli bleek dat een kwart van de Nederlandse ziekenhuizen en GGD's geen gebruikmaakt van de eerder genoemde beveiligingsstandaarden en ook de overheid heeft dit nog niet overal op orde.
Email is nou eenmaal by design niet betrouwbaar. En dus niet geschikt voor iets wat in enige vorm vertrouwelijk is. Zelf als zou je alles 'strict' configureren... dan is er wel ergens een brakke exchange server die de boel potentieel verziekt.
Zie het als een briefkaart: alles wat je niet per briefkaart zou versturen, moet je ook niet per mail versturen. Als je een briefkaartje krijgt met 'kun je ff 5 ton overmaken', dan doe je dat ook niet (hoop ik...)
afgedwongen worden dat ze aan de ontvangende kant verwerkt worden, zolang dat niet zo is kan er gewoon nog
gespoofed worden. Je kunt dan hooguit de schuld bij de ontvanger gaan leggen, "had ie zijn mail maar beter moeten
regelen".
Is trouwens wel interessant om te zien wat bijvoorbeeld een bank zou doen als je in een gespoofed mailtje getrapt
bent wat niet voldoet aan de DMARC policy. Gaan ze dan nog "vergoeden" of is het "verwijtbaar gedrag", ook al
heeft je mailprovider het niet gemeld omdat ie daar niet op checked?
(om het nog maar niet te hebben dat deze standaards alleen beschermen tegen "spoofen van het maildomein" en NIET
tegen "spoofen van mail van de organisatie". en dat is toch meestal heel wat belangrijker!)
"Opvallend is verder dat de Veiligheidsregio’s slecht scoren, terwijl de Veiligheidsregio Noord- en Oost-Gelderland vorig jaar nog getroffen werd door een ransomware-aanval. Van de 25 Veiligheidsregio’s hadden er 13 hun e-mail onvoldoende tegen phishing beveiligd, terwijl zij als overheidsorganisatie hiertoe wel verplicht zijn.(..)"
“Ook wij hebben in de praktijk er wel eens mee te maken dat er op een verkeerde link wordt geklikt of dat er een besmet bestand wordt geopend”, vertelt hoogspanningsbeheerder TenneT, die eveneens de mail onvoldoende beveiligd heeft.(..)"
8 oktober 2021 20:30 NPO2
"Zembla onderzoekt: is Nederland goed beschermd tegen ransomware-aanvallen?"
uitzending van donderdag 7 oktober om 20.25 uur, BNNVARA op NPO2
https://www.npostart.nl/zembla/07-10-2021/BV_101405031
https://www.bnnvara.nl/zembla/artikelen/groot-deel-vitale-sector-kwetsbaar-voor-cybercriminelen
Tot de 100 zogenoemde vitale bedrijven en overheidsorganisaties die Zembla en de ICF onderzochten behoren banken, energieproducenten, drinkwaterbedrijven, exploitanten van nucleaire installaties, ministeries en vervoersbedrijven.
Zie het Volkskrant artikel en de 'Evaluatie aanval gijzelsoftware bij VNOG' van het Instituut Fysieke Veiligheid
[1] https://www.security.nl/posting/716315/Gelderse+Veiligheidsregio+overgestapt+van+WhatsApp+naar+Signal
Met DKIM kan de domeinnaamhouders aangeven met welke sleutel e-mailberichten moeten zijn gesigneerd. Verzendende mailservers ondertekenen alle uitgaande e-mail namens deze domeinnaam met deze sleutel. Ontvangende mailservers kunnen met behulp van DKIM controleren of de e-mail door een geautoriseerde partij is verzonden. Via de standaarden kan e-mailspoofing, waarbij een aanvaller zich in een e-mail voordoet als een ander door het afzendadres te vervalsen, worden voorkomen.
Allemaal nutteloos zolang er geen zichtbare alarm voor de ontvanger afgaat, als die zijn mailbox opent. Je kunt er een heel verhaal van maken, maar je moet je gewoon in de huid van de gemiddelde ontvanger verplaatsen. Jarenlang is er gesteggeld over het nut van certificeren van websites, en nu weigert je browser websites die geen geldig certificaat hebben.
Maak wetgeving, die bedrijven verplichten tot certificatie van e-mails die van hun mailservers of servers van externe bedrijven die dat voor hen doen afkomstig zijn.
Iets als DMARC voorkomt zeker spoofing. De ontvangende mailserver heeft dan een duidelijk opdracht om dergelijke mail in het geheel niet af te leveren. Mits de policy op 'reject' staat. Bij teveel ondernenmingen staat die nog steeds op 'none', als ze het al gebruiken.
Iets als DMARC voorkomt zeker spoofing. De ontvangende mailserver heeft dan een duidelijk opdracht om dergelijke mail in het geheel niet af te leveren. Mits de policy op 'reject' staat. Bij teveel ondernenmingen staat die nog steeds op 'none', als ze het al gebruiken.
Ja maar je hebt er in de praktijk niks aan omdat je nog steeds mail "van een organisatie" kunt spoofen.
Als ik jou mail stuur vanaf een adres @abnbanknederland.nl helemaal in de huisstijl van de ABN en met alles correct
op DMARC, SPF en DKIM gebied en doend alsof dit van de ABN bank komt ga je dat dan ontdekken als "spoofed"?
En tante truus, gaat die dat ontdekken?
Wat er ontbreekt, dat is al vaker aan de orde geweest hier, is een protocol/registratie van acceptabele maildomeinen
per organisatie. Zodat je mail programma een waarschuwing kan geven "dit zegt wel van ABN te zijn maar dat is niet zo".
Zonder dat heeft het weinig zin om je @abn.nl domein te gaan beschermen, want dat gebruikt men dan gewoon niet.
Iets als DMARC voorkomt zeker spoofing. De ontvangende mailserver heeft dan een duidelijk opdracht om dergelijke mail in het geheel niet af te leveren. Mits de policy op 'reject' staat. Bij teveel ondernenmingen staat die nog steeds op 'none', als ze het al gebruiken.
Maar hoeveel van de ontvangende mail-servers kijken überhaupt naar de DMARC settings? Want het moet daar ook nog eens goed geconfigureerd staan. Pas als er aan de ontvangende kant ook goed mee omgegaan wordt heeft het zin.
Als ik jou mail stuur vanaf een adres @abnbanknederland.nl helemaal in de huisstijl van de ABN en met alles correct
op DMARC, SPF en DKIM gebied
Als jij een andere afzender gebruikt, is dat geen spoofen meer. Bij spoofen ga je juist een origineel adres imiteren.
In mijn geval gaat zo'n mail met 'gelijkende afzender" altijd rechtstreeks naar de map "onbekende afzenders", omdat het een afzender is die niet in mijn adresboek staat.
Op onze server komt mail met falende dmarc of hard-falende spf, niet binnen.
Soft-fail spf moet ik tot mijn spijt wel doorlaten, want te veel bedrijven sturen hun mail foutief de deur uit met een spf soft-fail tot gevolg.
Telefonische vraag van Zembla, in reactie op het ontvangen schrijven:
Zembla: "Waarom voldoet u als kerncentrale niet aan de hoogste beveiligingsstandaarden?"
[...]
Elger Jonker, onderzoeker digitale veiligheid:
Zembla: "Je verwacht dit van de bakker om de hoek? Dat 'ie z'n mail niet goed beveiligd heeft."
Securitybedrijven luiden noodklok over ransomware-incidenten in Nederland
woensdag 4 augustus 2021, 09:29 door Redactie
https://www.security.nl/posting/715255/Securitybedrijven+luiden+noodklok+over+ransomware-incidenten+in+Nederland
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
