Minister: aanpassing inlichtingenwet AIVD en MIVD zal meerdere jaren duren
De aanpassing van de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv) zal naar verwachting meerdere jaren in beslag nemen, zo heeft minister Ollongren van Defensie laten weten in een brief over het jaarplan 2023 van de MIVD. De Wet op de inlichtingen- en veiligheidsdiensten werd op 1 mei 2018 van kracht en geeft de AIVD en MIVD nieuwe bevoegdheden voor het onderscheppen en opslaan van internetverkeer van de kabel, alsmede een uitgebreidere hackbevoegdheid.
Er werd overeengekomen dat de Wiv na de inwerkingtreding binnen twee jaar zou worden geëvalueerd door een onafhankelijke commissie en waar nodig zal worden aangepast. Uit die evaluatie bleek volgens toenmalig minister Kamp van Defensie dat het huidige wettelijk kader van de Wiv onvoldoende is om snel en wendbaar in het digitale domein te opereren. Het kabinet wil de Wiv dan ook wijzigen.
"Voor enkele operationele knelpunten in de Wiv 2017 kon niet worden gewacht op de brede wetswijziging van de Wiv 2017. Daarom is de Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma opgesteld", aldus minister Bruins Slot van Binnenlandse Zaken in een brief over het jaarplan 2023 van de AIVD. Het wetsvoorstel werd vorige maand naar de Tweede Kamer gestuurd, gevolgd door een aparte nota voor de omgang met bulkdatasets.
Het wetsvoorstel geeft de inlichtingendiensten mogelijkheden die afwijken van de Wet op de inlichtingen- en veiligheidsdiensten (Wiv 2017) voor onderzoek naar landen met een offensief cyberprogramma. Zo zal, in plaats van bindende toetsing vooraf door de TIB, er tijdens en na de inzet van een bevoegdheid toezicht plaatsvinden door de Commissie van Toezicht op de Inlichtingen- en veiligheidsdiensten (CTIVD).
Verder wordt het mogelijk om tijdens een lopend onderzoek waarbij een aanvaller overstapt naar een nieuwe server of apparaat, deze te blijven volgen zonder dat er eerst toestemmingsaanvraag moet worden ingediend. Normaliter hadden de inlichtingendiensten eerst toestemming moeten vragen aan de minister en moet de TIB deze toestemming toetsen. Tevens verruimt het wetsvoorstel de medewerkingsplicht van derde partijen, zoals telecomproviders en opslagdiensten. De inlichtingendiensten kunnen gegevens opvragen bij aanbieders van telecommunicatie- en opslagdiensten. Het gaat dan meestal om het opvragen van disk-images van servers.
"De tijdelijke wet laat de noodzaak tot een bredere wijziging van de Wiv 2017 onverlet. In 2023 zal worden gewerkt aan de voorbereiding van wijziging van de Wiv 2017", aldus minister Ollongren. "Naar verwachting zal dit traject meerdere jaren in beslag nemen." Volgens minister Bruins Slot moet de nieuwe Wiv er voor zorgen dat de AIVD en MIVD de komende jaren een toekomstbestendig wettelijk kader hebben, om de nationale veiligheid te kunnen waarborgen. De minister voegt toe dat bij de uitwerking steeds zal worden bekeken of het werk van de diensten uitvoerbaar blijft.
Reacties (20)
Alles waar de kamer op tegen was bij de invoering van de sleepwet moet de komende jaren ‘gerepareerd’ worden.
Mensen uit de toezichthoudingscommissie lopen weg omdat ze zich moreel niet meer kunnen vinden in deze uitbereidingen van de sleepwet. En onze tandenloze 2e kamer keek toe.
Mensen uit de toezichthoudingscommissie lopen weg omdat ze zich moreel niet meer kunnen vinden in deze uitbereidingen van de sleepwet. En onze tandenloze 2e kamer keek toe.
en omdat we een prima 'tijdelijke wet' hebben die meer dan voldoende operationele ruimte biedt zonder teveel toetsing vooraf schuiven we de echte aanpassing straks keer op keer verder door. De noodzaak is er immers niet meer !!!
Zo rouleren managers en wetgevers tegenwoordig
Zo rouleren managers en wetgevers tegenwoordig
Dus de "tijdelijke" wet kan er in een paar maanden doorgejast worden maar een goed wet duurt tot 2030 oid?
Er wordt geen enkele reden gegeven waarom dat meerdere jaren moet duren, ze weten toch al wat ze zouden willen aanpassen neem ik aan.
Er wordt geen enkele reden gegeven waarom dat meerdere jaren moet duren, ze weten toch al wat ze zouden willen aanpassen neem ik aan.
En zo is de 'democratie' of wat je daaronder wilt verstaan voorlopig gestorven. Men heeft overal lak aan en gaat door met het optuigen en beschermen van een neo-feodaal globaal systeem van onderdrukking.
Een bepaalde partij heeft WO2 nooit verloren en is nu weer sterker dan ooit. De diensten hebben zich hier horig aan verklaard.
Een groot deel van de massa slaapt nog voor de actuele situatie, waarin ze zich gaan bevinden. Niet meer te helpen....helaas,
#obserwator
Een bepaalde partij heeft WO2 nooit verloren en is nu weer sterker dan ooit. De diensten hebben zich hier horig aan verklaard.
Een groot deel van de massa slaapt nog voor de actuele situatie, waarin ze zich gaan bevinden. Niet meer te helpen....helaas,
#obserwator
Een “voordeel” van dit meerjarige traject doet zich voor als er beter wordt opgelet waar privacy met voeten wordt getreden en wel/niet wordt gebeterd. Het is nog niet zo lang geleden dat landelijk in het nieuws was dat smart tv’s teveel data verzamelen.
Zie https://www.security.nl/posting/549555/Onderzoek%3A+Smart-tv+verzamelt+standaard+te+veel+data
Net vandaag meldt het Financieel Dagblad dat het ministerie van economische zaken een overname van Delfts bedrijf nowi door nexperia(in handen van het Chinese Wingtech) gaat onderzoeken.
https://fd.nl/tech-en-innovatie/1463624/ministerie-laat-overname-chipbedrijf-nowi-niet-zomaar-passeren
Technologie voor afstandsbedieningen zou volgens Simon van der Jagt (nowi ceo en medeoprichter) in dat artikel dan kennelijk niet gevoelig zijn. Waar was deze ceo toen smart tv’s negatief in het nieuws kwamen?
Dit lijkt mij een goed voorbeeld van als het risico eenmaal is opgetreden ook nauwelijks meer terug kan draaien, net als bij privacy inbreuken.
Zie https://www.security.nl/posting/549555/Onderzoek%3A+Smart-tv+verzamelt+standaard+te+veel+data
Net vandaag meldt het Financieel Dagblad dat het ministerie van economische zaken een overname van Delfts bedrijf nowi door nexperia(in handen van het Chinese Wingtech) gaat onderzoeken.
https://fd.nl/tech-en-innovatie/1463624/ministerie-laat-overname-chipbedrijf-nowi-niet-zomaar-passeren
Technologie voor afstandsbedieningen zou volgens Simon van der Jagt (nowi ceo en medeoprichter) in dat artikel dan kennelijk niet gevoelig zijn. Waar was deze ceo toen smart tv’s negatief in het nieuws kwamen?
Dit lijkt mij een goed voorbeeld van als het risico eenmaal is opgetreden ook nauwelijks meer terug kan draaien, net als bij privacy inbreuken.
Blijkbaar wil de minister na de tijdelijke wet nog heel veel extra dingen mogelijk gemaakt hebben. Een beetje wet vergt 2 à 3 jaar behandeling duur en is bedoeld om vele dingen in 1x vast te leggen. De tijdelijke cyberwet - wat een vreselijk on-Nederlands woord dat cyber - moet echter volgens info aan de eerste kamer 4 jaar gaan gelden. De vraag is dus, waar verwachten de opstellers van de wet dan extra gesteggel over?
De Evaluatiecommissie stelt in het rapport ook dat de Toetsingscommissie Inzet Bevoegdheden (TIB) van grote meerwaarde is voor het toezicht. Wanneer de inlichtingendiensten hun bevoegdheden willen inzetten moeten ze een verzoek bij de minister indienen. Keurt de minister het verzoek goed, dan toetst de TIB of de toestemming door de minister rechtmatig is verleend.
https://www.security.nl/posting/686872/Commissie+pleit+voor+aanpassen+Wet+op+inlichtingen-+en+veiligheidsdienstenEn dus wil de minister nu de rol van de TIB afbouwen?? Verwacht de minister dan opeens dat zijn eigen toestemming beoordeling voldoende kritisch is? En zo ja, wat is er dan veranderd sinds de wet WIV 2017 bepaalt dat de TIB de toestemming verlening door de minister moet toetsen??
Grapperhaus stelde nog expliciet dat hij als minister zich kan voorstellen dat een minister bij beoordeling door tijdsdruk en dagelijkse stapels verschillende dossiers cruciale punten over het hoofd zou kunnen zien en dat het daarom goed is dat er een derde nog naar kijkt VOORDAT de operatie doorgezet wordt.
Wel verdacht dat er NOG een wetsartikel in de maak is, een die de strafbaarheid van spionageactiviteiten wil uitbreiden.
Of dat terecht of onterecht is laat ik hier even in het midden. Een onderzoeker bij de CTIVD stelt dit aan de orde.
Zie https://jjoerlemans.com/2022/12/29/wetsvoorstel-uitbreiding-strafbaarheid-spionageactiviteiten/
Of dat terecht of onterecht is laat ik hier even in het midden. Een onderzoeker bij de CTIVD stelt dit aan de orde.
Zie https://jjoerlemans.com/2022/12/29/wetsvoorstel-uitbreiding-strafbaarheid-spionageactiviteiten/
Ja en we kennen nu ook de opvatting van de huidige NCTV baas.
We moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
We moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
Door Anoniem: Ja en we kennen nu ook de opvatting van de huidige NCTV baas.
We moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
Zie tevens https://twitter.com/EdWres/status/1610769890138533891?cxt=HHwWhsDRycmrzdosAAAAWe moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
Voorafgaand aan de verkiezingen 2023 zijn simulaties uitgevoerd met betrekking tot "desinformatie"!
https://twitter.com/MinBZK/status/1606317466182983680
Dit verklaart mede waarom de twitterfiles worden doodgezwegen door de MSM.
Vandaag hoorde ik bij een eerder opgenomen 2 uur durend gesprek dat de gespreksleider die aanvankelijk ook bij de NPO te gast zou zijn werd afgebeld. De reden: het zat te dicht op een toespraak van de grote roerganger, Mark Rutte, en de aanwezigheid van de gast bij de NPO zou diens boodschap tenniet kunnen doen.
Oftewel, uitsmeren en herhalen van nieuws en er is bij de NPO geen ruimte voor kritisch opbouwende vragen. Bijkomend voordeel van uitsmeren en herhalen is naast het "inslijten" van het narratief dat er tevens minder ruimte hoeft te worden ingepland voor achtergrond-berichtgeving.
Dat maakt datgeen dat al als desinformatie gebrandmerkt zou kunnen worden al nauwelijks kan doorkomen bij de NPO zelf.
De simulatie moet dus grotendeels gericht zijn geweest op inzet van schreeuwerig en rellerig trollen-gedrag bij fora zoals hier alsmede sociale media. Ze hebben al uitgebreid kunnen oefenen tijdens corona en zal t/m maart 2023 ongetwijfeld gepaard gaan met weinig opbouwende discussies.
Door Anoniem: Ja en we kennen nu ook de opvatting van de huidige NCTV baas.
We moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
Voorbeeld van de info dictatuur die met "zachte" hand normerend onze pupillen wordt opgedrongen is deze:We moeten volgens hem overal 'normeren' en normerend optreden m.a.w. tot aan de keukentafel de ander de maat willen nemen met wat de overheid als norm gedacht heeft. Andersdenkenden zijn immers volgens deze beleidsvoerder s minimaal wappies en anders potentieel ontspoorden.
Hoe heet dat met andere woorden? Info dictatuur of zo.
Iedereen ziet het en maar weinigen durven het te benoemen zo het is.
#webproxy
https://twitter.com/lewinskylou2/status/1610759965941329922?cxt=HHwWhMDTxfTpyNosAAAA.
Ongetwijfeld moet ook het feit worden verzwegen dat ons land qua bouwtempo de aanwas niet kon bijbenen.
En de roep voor aandacht van dat "probleempje" moet natuurlijk worden gelabeld.
Het is verbazingwekkend, behalve de anonieme reacties hier in deze draad, die iets anders laten horen, dat er maar weinig schijnt door te komen aan andersoortige berichtgeving bij het grote publiek. Brood en spelen. Qatar en Netflixen.
Zou wat er zoal speelt al algemeen aangekomen zijn bij het grotere publiek of gaat het als in en na WO2? Ineens werden alle bunkerbouwers verzetstrijder?
Zoals we het nu beleven. Zou het zo kunnen zijn dat de krachten, die WO2 volgens de geschiedschrijving hebben verloren, nooit verloren hebben en het oude nest in Davos weer bevolken?
Vergeet niet de kwalijke rol, die verkeerde politie speelde tijdens de oorlog, zowel in 010 als 020. Hoe groot is de collaboratie thans met verkeerd of nog erger totaal ontbrekend en zwalkend beleid?
#obserwator
Zou wat er zoal speelt al algemeen aangekomen zijn bij het grotere publiek of gaat het als in en na WO2? Ineens werden alle bunkerbouwers verzetstrijder?
Zoals we het nu beleven. Zou het zo kunnen zijn dat de krachten, die WO2 volgens de geschiedschrijving hebben verloren, nooit verloren hebben en het oude nest in Davos weer bevolken?
Vergeet niet de kwalijke rol, die verkeerde politie speelde tijdens de oorlog, zowel in 010 als 020. Hoe groot is de collaboratie thans met verkeerd of nog erger totaal ontbrekend en zwalkend beleid?
#obserwator
@annoniem #observator,
Kijk je naar wat ze op tv brengen dan lijkt je observatie te kloppen dat het brede publiek er nauwelijks over aan de weet komt.
Op argos, zembla en vpro tegenlicht na dan.
Kijk je naar geschreven media (kranten, websites) dan is dat beeld anders.
Zie https://nos.nl/zoeken?q=Ctivd - ieder jaar sinds 2018 wel een paar artikels
Zie https://www.bnr.nl/search?q=ctivd&period=all
Zie Volkskrant artikelen geschreven door Huib Modderkolk en Bert Hubert
Rtl nieuws mist nog artikelen over de nieuwe cyberwet dit jaar maar heeft wel de nodige artikelen https://www.rtlnieuws.nl/zoeken?q=Ctivd
Zie Ad artikelen https://www.ad.nl/zoeken?query=Ctivd
Zie Telegraaf artikelen https://www.telegraaf.nl/zoeken/ctivd
Samengevat, het komt neer op wakker schudden van bepaalde redacties.
Voor verbetering vatbaar is dat je “toevallig” wat zoektermen moet weten en die allemaal uitproberen.
Welke zoektermen zou jij nog meer op zoeken?
Kijk je naar wat ze op tv brengen dan lijkt je observatie te kloppen dat het brede publiek er nauwelijks over aan de weet komt.
Op argos, zembla en vpro tegenlicht na dan.
Kijk je naar geschreven media (kranten, websites) dan is dat beeld anders.
Zie https://nos.nl/zoeken?q=Ctivd - ieder jaar sinds 2018 wel een paar artikels
Zie https://www.bnr.nl/search?q=ctivd&period=all
Zie Volkskrant artikelen geschreven door Huib Modderkolk en Bert Hubert
Rtl nieuws mist nog artikelen over de nieuwe cyberwet dit jaar maar heeft wel de nodige artikelen https://www.rtlnieuws.nl/zoeken?q=Ctivd
Zie Ad artikelen https://www.ad.nl/zoeken?query=Ctivd
Zie Telegraaf artikelen https://www.telegraaf.nl/zoeken/ctivd
Samengevat, het komt neer op wakker schudden van bepaalde redacties.
Voor verbetering vatbaar is dat je “toevallig” wat zoektermen moet weten en die allemaal uitproberen.
Welke zoektermen zou jij nog meer op zoeken?
Interessante info ook hier:
https://cyberthreatintelligence.com/tag/innocent-citizens/
Alleen al de bewegingen voor en na de overname van Twitter zijn interessant. Wat moest er zo nodig uit het zicht blijven?
https://cyberthreatintelligence.com/tag/innocent-citizens/
Alleen al de bewegingen voor en na de overname van Twitter zijn interessant. Wat moest er zo nodig uit het zicht blijven?
Door Anoniem: Interessante info ook hier:
https://cyberthreatintelligence.com/tag/innocent-citizens/
Alleen al de bewegingen voor en na de overname van Twitter zijn interessant. Wat moest er zo nodig uit het zicht blijven?
Opmerkelijk is dat de verkapte censuur/voorportaal van censuur op 2 fronten wordt geopend;https://cyberthreatintelligence.com/tag/innocent-citizens/
Alleen al de bewegingen voor en na de overname van Twitter zijn interessant. Wat moest er zo nodig uit het zicht blijven?
Landelijk: kinderporno, criminaliteit
EU/Europa breed: initiatieven tegen deepfakes, meta data verboden, nieuws langs de coulissen
Van transparantie beginselen op proces niveau/werkwijze beginnen ze nu meer inhoudelijk op content-niveau te drammen.
Ik zeg bewust drammen aangezien er te weinig politie personeel is en je crimminelen achter hun toetsenbord arresteert ipv online.
waar dus ondertussen op EU niveau voor wordt gepusht door de Duitse regering(in strijd met hun eigen regeringsakkoord) is de inzet van Kunstmatige intelligentie voor bewaking van openbare ruimte.
https://futurium.ec.europa.eu/en/european-ai-alliance/document/eu-artificial-intelligence-act-european-approach-ai
Netzpolitik bericht erover
https://netzpolitik.org/2022/ai-act-der-europaeischen-union-ampel-verpasst-grundrechteschutz-bei-der-regulierung-kuenstlicher-intelligenz/
Wordt nog stil gehouden op nationaal niveau omdat ze anders meer werk hebben en lekker makkelijk, het moet van Brussel hè. En dan natuurlijk even invoeren in de definitieve cyberwet.....
https://futurium.ec.europa.eu/en/european-ai-alliance/document/eu-artificial-intelligence-act-european-approach-ai
Netzpolitik bericht erover
https://netzpolitik.org/2022/ai-act-der-europaeischen-union-ampel-verpasst-grundrechteschutz-bei-der-regulierung-kuenstlicher-intelligenz/
Wordt nog stil gehouden op nationaal niveau omdat ze anders meer werk hebben en lekker makkelijk, het moet van Brussel hè. En dan natuurlijk even invoeren in de definitieve cyberwet.....
Minister Bruins loopt achter als je ziet welke fouten er in de verkiezingsoftware zat:
Bevinding 1: Sessies blijven geldig na wachtwoordwijziging
Bevinding 2: Gelijktijdige sessies met enkel account mogelijk
Bevinding 3: Stemdata wordt niet door middel van digitale handtekeningen gecontroleerd
Bevinding 4: Digitale ondertekening van meerdere installatiebestanden ontbreekt
Bevinding 5: Zwakke cryptografie in gebruik voor encryptie databasewachtwoord
Bevinding 6: Gebruik van standaard sleutel voor encryptie databasewachtwoord
Bevinding 7: Least privilege principe niet geïmplementeerd bij installatie
Bevinding 8: Logregelinjectie mogelijk zonder authenticatie
Bevinding 9: Niet-ondersteunde software in gebruik
Bevinding 10: Databasewachtwoord kan door elke gebruiker op de server worden achterhaald
Bevinding 11: Niet alle wachtwoorden opgeslagen in een versleutelde key store
Bevinding 12: Niet genoeg PBKDF2-iteraties
Bevinding 13: Het huidige wachtwoordbeleid is niet veilig genoeg
Bevinding 14: Melding van het aantal foutieve inlogpogingen ontbreekt
Bevinding 15: Geen tweede factor benodigd bij inloggen
Bevinding 16: Clientside air-gap controle ontbreekt
Bevinding 17: SSL/TLS-configuratie onvoldoende veilig
Bevinding 18: Gebruik van correct servercertificaat wordt niet afgedwongen
https://www.kiesraad.nl/binaries/kiesraad/documenten/rapporten/2022/3/10/beveiligingsrapport-ondersteunende-software-verkiezingen-osv2020/Beveiligingsonderzoek_OSV2020.pdf
Aangezien het een toch wel slap rapport betreft - Clientside air-gap controle ontbreekt kreeg risico LAAG maar had hoog moeten hebben als je weet dat dit risico al sinds Arjen Kamphuis z'n bevindingen steeds wordt aangedragen. Bovendien is het risico op ten minste meekijken op deze wijze wel erg groot. Iets dat bij een puur analoog verkiezing proces alleen in openheid en nooit verhuld zou kunnen gebeuren.
Bedenk hierbij ook dat het verkiezingproces volgens de NCTV een van de 15 doelwitten of aangrijpingspunten is waar met offensieve cyberdreiging ernstig rekening moet worden gehouden.
Dan te bedenken dat de opsteller van het rapport Fox-IT nauwe banden met de inlichtingenwereld heeft.
Verder is het zo dat veel exploits in combinaties worden uitgenut. Gek genoeg heeft Fox-IT de risico's echter niet in combinaties gescoord. Dus bijvoorbeeld geen enkel dubbelrisico onderzoek met oorzaak - gevolg - gevolg, lees zogenaamde keten risico's.
Verder moet je natuurlijk met java bibliotheken in de software natuurlijk minimaal ook de bekende java-exploits opnemen in je rapportage.
De rapportage is bovendien opgesteld op basis van ict-beveiligingsrichtlijnen-voor-webapplicaties van mei 2019, maar daarna is er nog bijvoorbeeld in januari 2021 de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) uitgekomen.
Je beseft als je dit soort dingen op een rij zet dat het volwassen risicodenken met een rapport van Fox-IT nog in de kinderschoenen staat en dat het beveiligingsrapport uit 2020 dus een flinke update vergt.
Zijn ze bij de kiesraad al wakker?
Bevinding 1: Sessies blijven geldig na wachtwoordwijziging
Bevinding 2: Gelijktijdige sessies met enkel account mogelijk
Bevinding 3: Stemdata wordt niet door middel van digitale handtekeningen gecontroleerd
Bevinding 4: Digitale ondertekening van meerdere installatiebestanden ontbreekt
Bevinding 5: Zwakke cryptografie in gebruik voor encryptie databasewachtwoord
Bevinding 6: Gebruik van standaard sleutel voor encryptie databasewachtwoord
Bevinding 7: Least privilege principe niet geïmplementeerd bij installatie
Bevinding 8: Logregelinjectie mogelijk zonder authenticatie
Bevinding 9: Niet-ondersteunde software in gebruik
Bevinding 10: Databasewachtwoord kan door elke gebruiker op de server worden achterhaald
Bevinding 11: Niet alle wachtwoorden opgeslagen in een versleutelde key store
Bevinding 12: Niet genoeg PBKDF2-iteraties
Bevinding 13: Het huidige wachtwoordbeleid is niet veilig genoeg
Bevinding 14: Melding van het aantal foutieve inlogpogingen ontbreekt
Bevinding 15: Geen tweede factor benodigd bij inloggen
Bevinding 16: Clientside air-gap controle ontbreekt
Bevinding 17: SSL/TLS-configuratie onvoldoende veilig
Bevinding 18: Gebruik van correct servercertificaat wordt niet afgedwongen
https://www.kiesraad.nl/binaries/kiesraad/documenten/rapporten/2022/3/10/beveiligingsrapport-ondersteunende-software-verkiezingen-osv2020/Beveiligingsonderzoek_OSV2020.pdf
Aangezien het een toch wel slap rapport betreft - Clientside air-gap controle ontbreekt kreeg risico LAAG maar had hoog moeten hebben als je weet dat dit risico al sinds Arjen Kamphuis z'n bevindingen steeds wordt aangedragen. Bovendien is het risico op ten minste meekijken op deze wijze wel erg groot. Iets dat bij een puur analoog verkiezing proces alleen in openheid en nooit verhuld zou kunnen gebeuren.
Bedenk hierbij ook dat het verkiezingproces volgens de NCTV een van de 15 doelwitten of aangrijpingspunten is waar met offensieve cyberdreiging ernstig rekening moet worden gehouden.
Dan te bedenken dat de opsteller van het rapport Fox-IT nauwe banden met de inlichtingenwereld heeft.
Verder is het zo dat veel exploits in combinaties worden uitgenut. Gek genoeg heeft Fox-IT de risico's echter niet in combinaties gescoord. Dus bijvoorbeeld geen enkel dubbelrisico onderzoek met oorzaak - gevolg - gevolg, lees zogenaamde keten risico's.
Verder moet je natuurlijk met java bibliotheken in de software natuurlijk minimaal ook de bekende java-exploits opnemen in je rapportage.
De rapportage is bovendien opgesteld op basis van ict-beveiligingsrichtlijnen-voor-webapplicaties van mei 2019, maar daarna is er nog bijvoorbeeld in januari 2021 de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) uitgekomen.
Je beseft als je dit soort dingen op een rij zet dat het volwassen risicodenken met een rapport van Fox-IT nog in de kinderschoenen staat en dat het beveiligingsrapport uit 2020 dus een flinke update vergt.
Zijn ze bij de kiesraad al wakker?
Door Anoniem: Voorkomen is beter dan https://www.security.nl/posting/779293/Kabinet+presenteert+actieplan+voor+cybercrises+op+landelijk+niveau
Het voorkomen in bredere zin zit bij de AIVD kennelijk niet in het DNA van de organisatie.
AIVD heeft IT-assetmanagement niet op orde - Diefstal tientallen computers en beeldschermen niet opgemerkt.
https://www.agconnect.nl/artikel/aivd-heeft-it-assetmanagement-niet-op-orde
Klassiek recherchewerk was nodig om de diefstal van enkele tientallen computers en beeldschermen door een werknemer van de AIVD aan het licht te brengen. De AIVD had ze niet gemist.
De diefstal kwam aan het licht doordat een van de gestolen computers ter reparatie werd aangeboden door een particulier. Bij leverancier Dell stond de computer echter geregistreerd als eigendom van de geheime dienst. Daarop werd de politie ingeschakeld, die zo de zaak kon herleiden naar een medewerker van de AIVD. Aanvankelijk leek het te gaan om een diefstal van 102 computers en 67 beeldschermen.
Dat er zoveel camera's in en om het AIVD gebouw zijn heeft kennelijk weinig bijgedragen aan vroege opsporing van de computers. Werk aan de winkel de komende jaren dus.De diefstal kwam aan het licht doordat een van de gestolen computers ter reparatie werd aangeboden door een particulier. Bij leverancier Dell stond de computer echter geregistreerd als eigendom van de geheime dienst. Daarop werd de politie ingeschakeld, die zo de zaak kon herleiden naar een medewerker van de AIVD. Aanvankelijk leek het te gaan om een diefstal van 102 computers en 67 beeldschermen.
2023 dreigt een belangrijk jaar op vlak van AI te kunnen gaan worden waarin politici nog heel wat draaien moeten gaan rechtbreien.
Zie https://netzpolitik.org/2023/netzpolitik-in-europa-das-wird-2023-auf-eu-ebene-wichtig/
terwijl we komen vanaf https://www.cnbc.com/2021/04/15/eu-considers-ban-on-ai-for-mass-surveillance-social-credit-scores.html
Zie https://netzpolitik.org/2023/netzpolitik-in-europa-das-wird-2023-auf-eu-ebene-wichtig/
terwijl we komen vanaf https://www.cnbc.com/2021/04/15/eu-considers-ban-on-ai-for-mass-surveillance-social-credit-scores.html
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
